Context-aware Entity-Relation Extraction for Threat Intelligence Knowledge Graphs
تقدم هذه الورقة إطار عمل "رسم المعرفة لتهديدات المعلومات السياقية" (CTiKG)، الذي يستفيد من نماذج معالجة اللغات الطبيعية الهجينة التي تجمع بين تضمينات +SecureBERT والأنطولوجيا النطاقية للتغلب على قيود النهج المتسلسل الحالي في استخراج ثلاثيات الكيانات والعلاقات بدقة من تقارير الأمن السيبراني غير المهيكلة، محققاً مكاسب أداء كبيرة في الاختبارات المرجعية المتوافقة مع معيار STIX 2.1.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك محقق في الأمن السيبراني تحاول حل لغز ضخم. لديك آلاف التقارير المكتوبة بخط اليد وغير المنظمة (نصوص غير مهيكلة) تصف القراصنة، وأدواتهم، وهجماتهم. هدفك هو تحويل هذه الملاحظات الفوضوية إلى "لوحة ملصقات مطلوب" (رسم بياني للمعرفة - Knowledge Graph) منظمة ونظيفة، حيث يمكنك رؤية من يتصل بمن، وما هي الأدوات التي يستخدمونها، وأين يضربون فوراً.
تقدم هذه الورقة البحثية طريقة جديدة وأكثر ذكاءً لبناء تلك اللوحة، تسمى CTiKG. وإليك كيف تعمل، مقسمة إلى مفاهيم بسيطة:
المشكلة: "خط التجميع المعطل"
في السابق، كان محاولة بناء هذه اللوحات تشبه تشغيل خط تجميع معيب.
- الخطوة 1: حاول روبوت إيجاد أسماء الأشخاص والأماكن (الكيانات - Entities).
- الخطوة 2: حاول روبوت ثانٍ معرفة كيفية ارتباطهم ببعضهم البعض (العلاقات - Relations).
المشكلة هي أنه إذا ارتكب الروبوت الأول خطأً (مثل تحديد اسم قرصان بشكل خاطئ)، فإن الروبوت الثاني سيصاب بالارتباك ويرتكب خطأً أيضاً. يُسمى هذا "انتشار الخطأ" (Error Propagation). كما أن الروبوتات تم تدريبها على لغة إنجليزية عامة (مثل قراءة ويكيبيديا)، لذا لم تكن تفهم مصطلحات أو لغة الاختراق المتخصصة. فمثلاً، كانوا سيقرأون كلمة "Mimikatz" ويعتبرونها مجرد كلمة عشوائية، وليس أداة اختراق محددة.
الحل: "المحقق المدرك للسياق" (CTiKG)
بنى المؤلفون نظاماً جديداً يعمل كفريق محققين متخصصين يتحدثون لغة التهديدات السيبرانية بطلاقة. لقد قاموا بتحسين العملية بثلاث طرق:
1. "القارئ الخارق" (تحسين التعرف على الكيانات)
بدلاً من الروبوت البسيط، استخدموا عقلاً متخصصاً يسمى SecureBERT+. تخيل هذا كأن المحقق قد قرأ كل تقرير جريمة سيبرانية كُتب على الإطلاق.
- التطوير: أضافوا "شبكة أمان" (طبقة CRF) لهذا العقل. في النظام القديم، قد يصنف الروبوت كلمة على أنها "بداية اسم" ولكنه ينسى تصنيف "نهاية الاسم"، مما يؤدي إلى جملة مكسورة. شبكة الأمان تضمن أن التصنيفات دائماً ما تكون منطقية مع بعضها البعض، مثل قطعة الأحجية التي لا تتناسب إلا إذا كانت القطع المحيطة بها صحيحة.
- النتيجة: هذا النظام أفضل بكثير في رصد 21 نوعاً مختلفاً من "المشتبه بهم" (مثل القراصنة، أو البرامج الضارة، أو عناوين IP) في النص، مما يقلل الأخطاء بنسبة 3-4%.
2. "كتاب القواعد" (تحسين استخراج العلاقات)
بمجرد العثور على المشتبه بهم، يحتاج النظام إلى ربط النقاط.
- التطوير: أنشأوا "أنطولوجيا مجال محدد" (Domain Ontology). تخيل هذا ككتاب قواعد صارم أو مخطط انسيابي يقول: "القرصان يستخدم أداة"، أو "الأداة تستهدف حاسوباً".
- كيف يساعد ذلك: حتى لو ارتبك الذكاء الاصطناعي قليلاً، فإن كتاب القواعد يعمل كحكم. إذا حاول الذكاء الاصطناعي القول إن "حاسوباً" "مرتبط بـ" "تاريخ" بطريقة غير منطقية، فإن كتاب القواعد يصحح ذلك. هذا يضمن أن الروابط (العلاقات) منطقية ودقيقة.
- النتيجة: أدى هذا إلى تحسين دقة ربط النقاط بنسبة تصل إلى 8%.
3. "أرض التدريب" (بيانات جديدة)
لتعليم محققيهم الجدد، لم يستخدم المؤلفون مجرد بيانات قديمة وفوضوية. بل أنشأوا مجموعة تدريب جديدة ونظيفة للغاية تسمى DNRTI-AUG-STIX2.
- أخذوا التقارير الموجودة وأضافوا المزيد من الأمثلة لأنواع نادرة من القراصنة والأدوات (تعزيز البيانات - Data Augmentation) حتى لا يرتبك الذكاء الاصطناعي تجاه أشياء لم يرها من قبل.
- كما قاموا بدمج الفئات المتشابهة (مثل أنواع مختلفة من أكواد الـ hash) لجعل عملية التعلم أكثر سلاسة.
النتائج: صورة أكثر حدة
اختبر المؤلفون نظامهم الجديد مقابل الأنظمة القديمة باستخدام هذه المجموعات الجديدة من البيانات.
- الدرجة: سجل نظامهم الجديد درجات أعلى بكثير على مقياس من 0 إلى 1 (تحديداً، تحسين درجات F1 بنسبة 3-4% في إيجاد الأسماء وما يصل إلى 8% في إيجاد الروابط).
- الدليل: لم يختبروه على نوع واحد من التقارير فحسب؛ بل اختبروه على ثلاث مجموعات بيانات مختلفة (DNRTI-AUG-STIX2، وDNRTI، وSTUCCO) لإثبات أنه يعمل بغض النظر عن نوع التقرير السيبراني الذي يقرؤه.
الخلاصة
لا تدعي هذه الورقة أنها ستوقف القراصنة أو تتنبأ بالمستقبل. بدلاً من ذلك، تدعي أنها صنعت أداة أفضل لخبراء الأمن. من خلال إصلاح أخطاء "خط التجميع" وتعليم الذكاء الاصطناعي لغة "الهكر"، أنشأوا نظاماً يحول النصوص الفوضوية إلى خريطة واضحة وموثوقة للتهديدات السيبرانية. هذه الخريطة تساعد فرق الأمن على اتخاذ قرارات أسرع وأكثر استنارة لأن المعلومات دقيقة وسهلة الاستعلام.
لقد شارك المؤلفون أيضاً "بيانات التدريب" و"كتب القواعد" الخاصة بهم على GitHub حتى يتمكن الباحثون الآخرون من استخدامها لبناء أنظمة أفضل.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.