An Automated Framework for Extracting Reachable Attack Chains from Cyber Threat Intelligence Reports
Dieses Paper schlägt ein automatisiertes Framework vor, das große Sprachmodelle nutzt, um strukturierte Angriffseinheiten mit Vorbedingungen und Nachbedingungen aus unstrukturierten Cyber-Threat-Intelligence-Berichten zu extrahieren und diese zu Datalog-Regeln zu kompilieren, um eine effektive Erreichbarkeitsanalyse und mehrstufige Angriffsketten-Argumentation zu ermöglichen.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich das Internet als eine riesige, geschäftige Stadt vor, in der böswillige Akteure ständig versuchen, in Gebäude einzubrechen, Schlüssel zu stehlen und Türen aufzuschließen. Um dies zu verhindern, schreiben Sicherheitsexperten detaillierte Geschichten, die „Cyber Threat Intelligence“-Berichte genannt werden. Diese Geschichten beschreiben genau, wie ein Hacker eingebrochen ist: „Zuerst verschickte er eine gefälschte E-Mail. Dann klickte das Opfer auf einen Link. Als Nächstes installierte sich ein Virus von selbst.“ Es ist wie eine Ermittlungsakte eines Detektivs. Aber hier liegt das Problem: Diese Geschichten sind in einer unordentlichen, menschlichen Sprache verfasst. Ein Computer, der versucht, sie zu lesen, wird verwirrt. Er kann nicht leicht herausfinden, warum Schritt zwei passierte (er musste erst warten, bis Schritt eins abgeschlossen war) oder was sich im System nach Schritt zwei änderte. Es ist, als würde man versuchen, einen funktionierenden Roboter nur mit einem Haufen unsortierter Rezeptkarten zu bauen; man kennt zwar die Zutaten, aber man kennt nicht die Reihenfolge oder die Ursache-Wirkungs-Beziehung.
Um dies zu lösen, benötigen Forscher einen Weg, diese unordentlichen Geschichten in einen strengen, logischen Bauplan zu verwandeln, den ein Computer tatsächlich ausführen kann. Sie müssen nicht nur wissen, was der Hacker getan hat, sondern auch, welche Bedingungen erfüllt sein mussten, damit der Hacker dies tun konnte (die „Vorbedingungen“) und in welchem Zustand das System danach zurückblieb (die „Nachbedingungen“). Denken Sie an ein Brettspiel: Man kann seine Spielfigur nicht auf ein neues Feld bewegen, es sei denn, man hat den richtigen Würfelwurf (die Bedingung), und sobald man sich bewegt hat, befindet sich die Figur nun an einem neuen Ort (das Ergebnis). Wenn Sie es schaffen, die Geschichte eines Hackers in einen perfekten Satz von Spielregeln zu übersetzen, können Sie den Computer fragen: „Kann ein Hacker von der Haustür zum Tresor gelangen?“ und eine definitive Antwort erhalten. Dies ist die Herausforderung, die dieses Paper angeht: vage Spionagengeschichten in ein präzises, spielbares Spiel der Cyberabwehr zu verwandeln.
Die Autoren dieses Papers haben einen cleveren, automatisierten Rahmen geschaffen, um dieses Rätsel zu lösen. Sie erkannten, dass es nicht gut funktioniert, einfach ein intelligentes Computerprogramm (ein Large Language Model) zu fragen: „Lies die Geschichte und gib mir die Regeln“. Wenn man einfach nach dem Ganzen auf einmal fragt, bringt der Computer oft die Details durcheinander, vertauscht die Reihenfolge oder erfindet Schritte, die gar nicht existieren. Es ist, als würde man einen Schüler bitten, einen ganzen Aufsatz in einem einzigen Atemzug zu schreiben; er könnte die Logik übersehen. Stattdessen entwarfen die Forscher ein mehrstufiges Fließband.
Zuer Sie fungiert das System wie ein sorgfältiger Editor, der die wichtigsten „Angriffsschritte“ aus dem Text extrahiert, wie zum Beispiel „Datei herunterladen“ oder „Firewall umgehen“. Dann agiert es wie ein Detektiv, der nach den spezifischen Hinweisen sucht, die erklären, warum dieser Schritt möglich war und was als Nächstes geschah. Aber hier liegt die Magie: Es lässt diese Hinweise nicht als unordentliche Sätze zurück. Es zwingt sie in einen strengen, standardisierten Code, wie etwa die Übersetzung von „der Computer ist offen für das Internet“ in ein spezifisches Spiel-Token namens network.open. Dies ist entscheidend, da es dem Computer ermöglicht, zu prüfen, ob die „Token“ perfekt zusammenpassen. Wenn der erste Schritt ein „Tür offen“-Token hinterlässt, kann der nächste Schritt nur stattfinden, wenn er ein „Tür offen“-Token benötigt.
Das System verfügt sogar über eine „Qualitätskontroll“-Stufe. Es führt eine Simulation durch, um zu sehen, ob die Kette der Züge tatsächlich vom Anfang bis zum Ende verbindet. Wenn es eine unterbrochene Verbindung findet – wie etwa einen Schritt, der ein „Passwort“-Token benötigt, das nie erstellt wurde – stoppt es und versucht, den Fehler zu beheben oder markiert ihn zumindest. Schließlich kompiliert es all diese sauberen, verifizierten Schritte in einen Satz logischer Regeln (unter Verwendung einer Sprache namens Datalog), den ein Computer sofort ausführen kann, um zu sehen, ob ein bestimmtes Angriffsziel erreichbar ist.
Als sie dies an 20 realen Cyberangriff-Berichten testeten, die 334 spezifische Schritte enthielten, waren die Ergebnisse beeindruckend. Ihre Methode fand und formatierte 94,9 % der Angriffsschritte korrekt und schlug damit bestehende Werkzeuge, die nur etwa 80 % oder weniger schafften. Viel wichtiger ist, dass ihr Computer, wenn er die Logik auf diese extrahierten Regeln anwandte, erfolgreich herausfand, wie das Ziel des Hackers erreicht werden kann, und zwar in 19 von 20 Berichten. Dies beweist, dass ihr „Fließband“-Ansatz viel besser darin ist, unordentliche menschliche Geschichten in saubere, spielbare Spielregeln zu verwandeln, als einfach nur ein intelligentes KI-Modell nach der gesamten Sache zu fragen. Sie haben nicht nur die Schritte gefunden; sie haben eine Brücke gebaut, die es Computern ermöglicht, die Logik eines Angriffs tatsächlich zu verstehen, indem sie eine statische Geschichte in eine dynamische Gefahrenkarte verwandeln.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.