Operationalizing Cyber Threat Intelligence with GraphRAG
Diese Arbeit zeigt auf, dass die Nutzung von Microsoft GraphRAG für die Wissensgraphen-Abfrage anstelle von standardbasiertem Vektor-RAG die automatische Generierung von Cyber-Bedrohungserkennungsplänen ermöglicht, die auf dauerhafteren, übergeordneten Indikatoren beruhen, was zu einer signifikant höheren Erkennungspersistenz gegenüber Techniken der Angreiferumgehung führt.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich das Internet wie eine riesige, geschäftige Stadt vor, in der Bösewichte ständig versuchen, in Gebäude einzubrechen. Wenn Sicherheitsforscher diese Diebe erwischen, schreiben sie einen Bericht und listen die Hinweise auf: die Schuhgröße des Diebes, das Nummernschild ihres Fluchtautos und die spezifische Marke des verwendeten Lockpicks. In den alten Zeiten hätten Sicherheitsteams diese Hinweise einfach in eine „Sperrliste“ kopiert und gehofft, dass es reicht. Aber hier liegt das Problem: Bösewichte sind schnell. Wenn man ein Nummernschild sperrt, können sie innerhalb einer Stunde ein neues Auto mieten. Wenn man eine Schuhgröße sperrt, können sie einfach ein anderes Paar kaufen. Das ist, als würde man versuchen, einen Fluss aufzuhalten, indem man einen einzelnen Kieselstein hineinwirft; das Wasser fließt einfach um ihn herum.
Um dies zu lösen, nutzen Sicherheitsexperten ein Konzept namens „Pyramid of Pain“ (Pyramide des Schmerzes). Stellen Sie sich eine Pyramide vor, bei der die unteren Schichten leicht zu ändernde Hinweise sind (wie Nummernschilder) und die oberen Schichten die tatsächlichen Gewohnheiten und Pläne des Diebes (wie wie er das Schloss knackt oder warum er genau dieses Gebäude gewählt hat). Eine Gewohnheit zu ändern ist schwer und dauert Monate; ein Nummernsild zu ändern dauert Minuten. Das Ziel ist es, Verteidigungsmaßnahmen zu bauen, die die Spitze der Pyramide ins Visier nehmen. Währenddessen ist ein neuer Typ von KI-Tools namens „GraphRAG“ aufgetaucht. Denken Sie bei Standard-KI an einen Schüler, der ein Buch liest und Sätze markiert, die einer Frage ähneln. GraphRAG ist wie ein Schüler, der zuerst eine Karte zeichnet, die alle Charaktere, Orte und Ereignisse im Buch miteinander verbindet, und dann diese Karte nutzt, um die Antwort zu finden. Dieses Paper stellt eine einfache Frage: Wenn wir die „Karte“ statt nur der „markierten Sätze“ verwenden, werden unsere Sicherheitspläne dann länger Bestand haben?
Das Dilemma des Detektivs: Karten vs. Textmarker
Wenn ein Sicherheitsunternehmen einen Bericht über einen Cyberangriff veröffentlicht, ist das so, als würde man einem Detektiv einen dicken Roman voller Hinweise überreichen. Die Aufgabe des Detektivs ist es, diesen Roman in eine Reihe von Anweisungen für die Polizeikräfte (das Sicherheitsteam) zu verwandeln, um die Bösewichte zu fangen. Normalerweise ist dies ein langsamer, manueller Prozess. Ein Mensch muss das Ganze lesen, die nützlichen Teile herauspicken und spezifische Regeln für die Sicherheitssoftware schreiben. Es dauert Tage, und bis die Regeln bereit sind, haben die Bösewichte ihre Taktiken oft schon geändert.
Einige Teams versuchten, dies mithilfe von KI zu beschleunigen. Sie gaben der KI den Bericht und baten sie, die Regeln zu schreiben. Die KI nutzte eine gängige Methode namens „Standard RAG“. Man kann sich das wie einen Schüler vorstellen, der eine Prüfung ablegt und nur nach den exakten Wörtern im Lehrbuch sucht, die zur Frage passen. Wenn die Frage nach einem „roten Auto“ fragt, findet der Schüler den Absatz, in dem ein „rotes Auto“ erwähnt wird, und kopiert ihn. Das Problem ist, dass dieser Ansatz zu wörtlich ist. Er konzentriert sich auf die leicht zu ändernden Hinweise (das „rote Auto“) und übersieht die tiefere Geschichte (die Tatsache, dass der Dieb immer nur dienstags ein rotes Auto fährt). Da die Bösewichte ihr „rotes Auto“ innerhalb eines Tages gegen einen „blauen Van“ austauschen können, funktionieren die Regeln der KI fast sofort nicht mehr.
Das GraphRAG-Experiment
Die Forscher am IIT Bombay wollten sehen, ob ein intelligenterer KI-Ansatz dieses Problem lösen könnte. Sie verglichen zwei Wege, dieselben Sicherheitsberichte zu verarbeiten:
- Standard RAG: Die standardmäßige „Textmarker“-Methode, die einfach ähnliche Textabschnitte findet.
- GraphRAG: Eine Methode, die zuerst einen „Knowledge Graph“ (Wissensgraphen) erstellt. Stellen Sie sich vor, man nimmt den Bericht und zeichnet ein Netz von Verbindungen: Dieser Hacker nutzte diese Malware, um diesen Server anzugreifen. Es verbindet die Punkte, bevor es versucht, die Frage zu beantworten.
Sie fütterten beide Methoden mit denselben Berichten und baten sie, exakt dieselbe Art von Threat-Hunting-Plan zu schreiben. Dann nutzten sie eine spezielle „Richter-KI“, um die Pläne zu bewerten. Bei der Bewertung ging es nicht nur darum, wie viele Regeln die KI schrieb, sondern darum, wo diese Regeln auf der „Pyramid of Pain“ lagen. Verließ sich der Plan auf leicht zu ändernde Hinweise (die Unterseite der Pyramide) oder konzentrierte er sich auf die schwer zu ändernden Verhaltensweisen (die Oberseite)?
Die Ergebnisse: Die Karte gewinnt
Die Ergebnisse waren eindeutig, wenngleich mit einer wichtigen Unterscheidung. Bei einer Tiefenanalyse eines spezifischen Berichts über eine berühmte Hackergruppe (APT28) testeten die Forscher, wie lange die Pläne Bestand hatten. Sie simulierten ein Szenario, in dem die Bösewichte jeden einzelnen leichten Hinweis (IP-Adressen, Dateinamen, Domains) in diesem Bericht änderten.
- Der Standard RAG-Plan (der Textmarker) funktionierte nur für 29 % der Erkennungen. Er war zu sehr von den spezifischen, veränderbaren Hinweisen abhängig.
- Der GraphRAG-Plan (die Karte) funktionierte in diesem spezifischen Fallbeispiel für 100 % der Erkennungen. Da er sich auf die Beziehungen und Verhaltensweisen (die Oberseite der Pyramide) konzentrierte, war es der Plan egal, dass die Bösewichte ihr „rotes Auto“ gegen einen „blauen Van“ getauscht hatten.
Als die Forscher diesen Test mit neun verschiedenen Berichten von vier verschiedenen Sicherheitsanbietern wiederholten, bestätigte sich das Muster: GraphRAG-Pläne erreichten konsistent höhere Ebenen der Pyramide, was sie viel schwieriger für Angreifer macht, sie zu umgehen. Während die 100-prozentige Überlebensrate ein herausragendes Ergebnis aus der einzelnen APT28-Fallstudie war, bestätigten die breiteren Experimente, dass GraphRAG-Pläne konsistent besser darin waren, dauerhafte, schwer zu umgehende Hinweise ins Visier zu nehmen, selbst wenn die beiden Methoden ähnliche Gesamtqualitätswerte aufwiesen.
Was das bedeutet
Das Paper legt nahe, dass Sicherheitsteams, um Berichte automatisch in funktionierende Abwehrmaßnahmen umzuwandeln, aufhören müssen, den Text nur zu „lesen“ und stattdin damit beginnen müssen, die Verbindungen zu „kartieren“. Die Studie fand heraus, dass die Art und Weise, wie die KI Informationen abruft (die Karte vs. der Textmarker), fast genauso wichtig ist wie die KI selbst. Während die „Textmarker“-Methode für einfache Fragen okay ist, ist die „Karten“-Methode der architektonisch korrekte Weg, um Hunting-Pläne zu erstellen, die nicht ablaufen, sobald die Bösewichte ihre Schuhe wechseln.
Die Autoren merkten jedoch auch einige Schwierigkeiten an. Manchmal, wenn ein Bericht sehr kurz war, wurde die „Karten“-Methode verwirrt und fand nicht genügend Verbindungen, um einen guten Plan zu erstellen. Zudem unterlief der „Richter-KI“ manchmal mathematische Fehler beim Bewerten langer Pläne, die die Forscher mit ein wenig zusätzlichem Code korrigieren mussten. Aber insgesamt deutet die Evidenz darauf hin, dass der Aufbau eines Knowledge Graphs der Schlüssel dazu ist, KI-generierte Sicherheitsregeln zu erstellen, die tatsächlich Bestand haben.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.