用途：OpenCTI 是由 Filigran 开发的开源威胁情报平台，可将结构化网络威胁情报以知识图谱形式存储、组织、可视化与共享。Threat Actor、Intrusion Set、Campaign、Attack Pattern、Malware、Indicator、Observable、Vulnerability 等对象均基于 STIX 2.1 建模，其 uses、attributed-to、targets、indicates 关系构成对手活动图。
架构与能力：平台由 GraphQL API、Elasticsearch/OpenSearch、图数据库、Redis、RabbitMQ、导入导出 worker 与连接器组成。连接器从 MITRE ATT&CK、MISP、AlienVault OTX、CISA、abuse.ch 等来源拉取情报，转换为 STIX 2.1 bundle 提交入库。官方 Python 客户端 pycti（OpenCTIApiClient）用于创建实体、建立关系、提交 STIX bundle。
用法要点：先部署官方 Docker Compose 栈（git clone https://github.com/OpenCTI-Platform/docker.git opencti-docker，配置 .env 后 docker compose up -d），访问 http://localhost:8080。安装客户端：pip install pycti stix2。用平台 URL 与 API token 创建 OpenCTIApiClient，再通过 threat_actor_group.create、intrusion_set.create、campaign.create、attack_pattern.create、indicator.create 等创建对象，用 stix_core_relationship.create 建立 attributed-to、uses、indicates 关系；批量导入可用 import_bundle_from_json。连接器需单独 token 并追加到 docker-compose.yml。
适用场景：集中化 STIX 原生威胁情报库、关联多源 IOC 与报告、映射 MITRE ATT&CK 做覆盖与差距分析、为检测工程产出结构化情报、追踪归因、自动化 CTI 摄取与图谱查询导出。
限制：需 Docker/Docker Compose、Python 3.8+、可用 OpenCTI 实例与 API token，并熟悉 STIX 2.1 模型；需 RabbitMQ、Redis、Elasticsearch/OpenSearch 可达。资料未提供收费、价格与性能数据。