CVE-TTP KG: Knowledge Graph Linking Software Vulnerabilities to Attack Behaviors
Dieses Paper stellt CVE-TTP vor, einen Knowledge Graph, der die Lücke zwischen Software-Schwachstellen und Angreiferverhalten schließt, indem er CVEs mithilfe von Transformer-basierten Modellen und einem Neo4j-Visualisierungsframework mit den Taktiken und Techniken von MITRE ATT&CK verknüpft.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich die Welt der Cybersicherheit als eine riesige, chaotische Bibliothek vor. In einem Regal finden Sie den CVE-Bereich (Common Vulnerabilities and Exposures). Dies ist ein gigantischer Katalog jedes bekannten „kaputten Schlosses“ oder „gebrochenen Fensters“ in einer Software. Er sagt Ihnen, was kaputt ist und wo es sich befindet, aber er verrät Ihnen nicht, wer versucht einzubrechen oder wie er es planen wird.
In einem anderen Regal finden Sie den MITRE ATT&CK-Bereich. Dies ist ein Handbuch für kriminelles Verhalten. Es beschreibt die „Taktiken“ (das Ziel des Kriminellen, wie „die Schlüssel stehlen“) und die „Techniken“ (die spezifische Methode, wie „das Schloss knacken“ oder „die Scheibe einschlagen“).
Das Problem:
Lange Zeit sprachen diese beiden Regale nicht miteinander. Sicherheitsteams hatten zwar eine Liste kaputter Schlösser, wussten aber nicht, welche davon Kriminelle tatsächlich ins Visier nehmen oder wie sie diese ausnutzen wollen. Es ist, als wüsste man, dass ein Fenster einen Riss hat, aber man weiß nicht, ob ein Einbrecher hineinklettern, die Scheibe einschlagen oder nur einen Stein hineinwerfen will.
Die Lösung: Der CVE-TTP Knowledge Graph
Die Autoren dieser Arbeit haben ein „Super-Bibliotheksassistenten-System“ namens CVE-TTP Knowledge Graph entwickelt. Stellen Sie sich dies als eine riesige, intelligente Karte vor, die direkte Linien zwischen den kaputten Schlössern (CVEs) und den kriminellen Playbooks (Taktiken und Techniken) zieht.
So haben sie es aufgebaut, unter Verwendung einfacher Analogien:
1. Das Training des Detektivs (Datenerhebung)
Zuerst sammelte das Team eine riesige Bibliothek von 276.000 Schwachstellenberichten. Um ihrem System beizubringen, wie man die Punkte verbindet, verfolgten sie manuell den Pfad von einem kaputten Schloss zu einer kriminellen Methode.
- Die Kette: Sie verknüpften eine Schwachstelle (Vulnerability) eine Fehlstelle (Weakness) ein Angriffsmuster (Attack Pattern) eine Technik (Technique) eine Taktik (Tactic).
- Das Ergebnis: Sie erstellte einen „Goldstandard“-Datensatz mit 1.080 Beispielen, bei denen Menschen diese Linien bereits perfekt gezogen hatten. Dies diente als Lehrer für ihre KI.
2. Die zwei Detektivstile (Die KI-Modelle)
Das Team entwickelte zwei verschiedene Arten von KI-„Detektiven“, um die Schwachstellenberichte zu lesen und die Linien automatisch zu ziehen.
Detektiv A (Der Pipeline-Ansatz): Dieser Detektiv arbeitet in zwei Schritten. Zuerst liest er den Text und hebt die wichtigen Wörter hervor (wie „Microsoft“, „Windows“ oder „Denial of Service“). Dann schaut sich ein zweiter Detektiv diese hervorgehobenen Wörter an und entscheidet, wie sie miteinander verbunden sind.
- Analogie: Es ist wie ein Team, bei dem eine Person die Verdächtigen markiert und eine zweite Person die Linien zwischen ihnen zieht.
- Leistung: Sehr gut darin, die Wörter zu finden (99 % Genauigkeit) und sie zu verbinden (99 % Genauigkeit), aber manchmal übersieht der zweite Detektiv die Nuancen, weil er das Gesamtbild nicht gleichzeitig sieht.
Detektiv B (Der Joint-Ansatz): Dieser Detektiv liest den Text und zieht die Linien alle gleichzeitig. Er betrachtet den gesamten Satz und entscheidet: „Dieses Wort ist ein Verdächtiger, jenes Wort ist ein Ort und sie sind durch diesen spezifischen Verbrechenstyp verbunden.“
- Analie: Dies ist ein einzelner Detektiv, der den gesamten Tatort sofort sieht und die Karte in einem Zug erstellt.
- Leistung: Er war im Vergleich zum Zwei-Schritte-Team etwas weniger perfekt darin, jedes einzelne Wort zu finden (78 % Genauigkeit), war aber viel besser darin, den Kontext zu verstehen und Fehler zu vermeiden, bei denen ein Schritt den nächsten beeinträchtigt.
3. Das „Gehirn“ des Systems (Die Modelle)
Um diese Detektive klug zu machen, nutzte das Team eine spezielle Art von KI-Gehirn namens CySecBERT.
- Stellen Sie sich ein normales Gehirn vor, das Nachrichten liest und „Katze“ und „Hund“ versteht.
- CySecBERT ist ein Gehirn, das Millionen von Cybersicherheits-Blogs, Berichten und Tweets gelesen hat. Es versteht bereits, dass „SQL-Injection“ nicht nur ein Datenbankfehler ist, sondern eine spezifische Art von Angriff.
- Das Team brachte diesem Gehirn bei, einen Schwachstellenbericht zu lesen und zu sagen: „Ah, dieses spezifische kaputte Schloss wird wahrscheinlich von einem Kriminellen genutzt, der versucht, Anmeldedaten zu stehlen (Taktik) mittels Netzwerk-Sniffing (Technik).“
4. Die Ergebnisse: Eine klarere Karte
Als sie ihr System testeten:
- Die Geschicklichkeit des Gehirns: Das CySecBERT-Modell war unglaublich gut darin, den Plan des Kriminellen zu erraten. Es identifizierte die „Taktiken“ (Ziele) zu 96 % der Zeit und die „Techniken“ (Methoden) zu 87 % der Zeit korrekt.
- Die Karte: Sie speisten all diese Daten in eine Datenbank namens Neo4j ein (denken Sie an ein digitales Spinnennetz).
- Die Pipeline-Karte: Zeigte die Verbindungen auf, verwendete aber manchmal vage Linien wie „assoziiert mit“ anstelle von spezifischen wie „erreicht durch“. Es war etwas unordentlich.
- Die Joint-Karte: Erstellte ein saubereres, fokussierteres Netz. Sie verknüpfte die Schwachstelle korrekt mit der Fehlstelle und der Auswirkung, übersah jedoch manchmal die spezifischen „Anbieter“-Namen.
Das Fazit
Die Autoren behaupten, dass sie durch den Bau dieses CVE-TTP Knowledge Graph erfolgreich die Lücke zwischen „was kaputt ist“ und „wie es angegriffen wird“ geschlossen haben.
Anstatt dass Sicherheitsteams vor einer langen Liste kaputter Schlösser starren, verfügen sie nun über eine visuelle Karte, die zeigt: „Dieses spezifische Schloss wird wahrscheinlich von einem Dieb mit diesem spezifischen Werkzeug geknackt, um dieses spezifische Ziel zu erreichen.“ Dies hilft Verteidigern, zu priorisieren, welche Schlösser sie zuerst reparieren müssen, und die Absicht der Kriminellen zu verstehen, anstatt nur auf den Schaden zu reagieren.
Die Autoren merken an, dass ihr System zwar ein großer Schritt nach vorne ist, aber immer noch mit mehrdeutigen Wörtern (wie nicht zu wissen, ob „Service“ einen Software-Dienst oder einen Reparaturdienst meint) und Referenzen (wie „es“ oder „dieses Problem“) zu kämpfen hat, was sie in Zukunft zu beheben hoffen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.