OntoLogX: Ontology-Guided Knowledge Graph Extraction from Cybersecurity Logs with Large Language Models

Aquí se presenta un resumen técnico detallado del artículo "OntoLogX: Extracción de Grafos de Conocimiento Guiada por Ontologías desde Registros de Ciberseguridad con Modelos de Lenguaje Grandes."

1. Declaración del Problema

Los registros de sistemas de ciberseguridad son una fuente crítica de Inteligencia de Amenazas Cibernéticas (CTI), que contienen evidencia de comportamientos de atacantes, vulnerabilidades y rastros maliciosos. Sin embargo, la extracción de inteligencia procesable de estos registros se ve obstaculizada por varios desafíos:

• Datos no estructurados y heterogéneos: Los registros varían significativamente en formato, sintaxis y semántica entre diferentes dispositivos y sesiones.
• Fragmentación: Los escenarios de ataque a menudo se dividen en múltiples entradas de registro, lo que dificulta reconstruir la narrativa completa.
• Limitaciones de los métodos tradicionales: Los analizadores basados en reglas y las heurísticas carecen de la adaptabilidad para generalizar a través de comportamientos de amenazas en evolución y formatos de registro diversos.
• Limitaciones de los LLM: Aunque los Modelos de Lenguaje Grandes (LLM) sobresalen en el procesamiento del lenguaje natural, a menudo carecen de consistencia factual, fundamentación específica del dominio y la capacidad de producir salidas estructuralmente válidas sin una intervención pesada del usuario o preprocesamiento.

El problema central es la necesidad de un sistema autónomo que pueda transformar datos de registros crudos y ruidosos en Grafos de Conocimiento (KG) coherentes, semánticamente consistentes e interoperables sin intervención manual, asegurando al mismo tiempo que la salida se adhiera a ontologías de dominio estrictas.

2. Metodología: El Marco OntoLogX

OntoLogX es un agente de IA autónomo diseñado para procesar eventos de registro de manera secuencial e incremental. Aprovecha LLM, Generación Aumentada por Recuperación (RAG) y validación iterativa para construir KG fundamentados en ontologías. El flujo de trabajo consta de cuatro etapas principales:

A. Diseño de Ontología

El sistema utiliza una ontología de registro personalizada y ligera adaptada para ciberseguridad.

• Estructura: Define clases principales como Evento, Origen (dispositivo/aplicación), Parámetro (por ejemplo, marcas de tiempo, direcciones de red, usuarios) y CredencialDeUsuario.
• Alineación: Se mapea a ontologías de procedencia estándar (por ejemplo, prov-o) y ontologías de tiempo del W3C para garantizar la interoperabilidad.
• Validación: Un esquema complementario SHACL (Lenguaje de Restricciones de Formas) hace cumplir restricciones sobre cardinalidades de propiedades, tipos de datos y campos requeridos para garantizar la validez sintáctica y semántica.

B. Recuperación Híbrida (RAG)

Antes de generar un KG para un nuevo evento de registro, OntoLogX recupera ejemplos pasados semánticamente similares para servir como prompts de pocos ejemplos (few-shot prompts).

• Búsqueda Híbrida: Combina búsqueda vectorial (para similitud semántica) y búsqueda de texto completo (para coincidencia exacta de palabras clave) contra una base de datos de grafos de KG previamente generados.
• Reordenamiento: El sistema utiliza Relevancia Marginal Máxima (MMR) para equilibrar la relevancia con la diversidad, asegurando que los ejemplos recuperados cubran una amplia gama de patrones en lugar de agruparse alrededor de una sola interpretación.

C. Generación Guiada por Ontología

El LLM genera un KG candidato basado en el registro crudo, el contexto opcional (por ejemplo, tipo de dispositivo) y los ejemplos recuperados.

• Salida Estructurada: El modelo está restringido a generar en un esquema predefinido (por ejemplo, formato JSON o Turtle) definido por la ontología, evitando la generación de texto libre.
• Independencia del Modelo: El diseño del prompt es genérico, permitiendo compatibilidad con diversos backends de LLM.

D. Validación y Corrección Iterativa

Para mitigar las alucinaciones de los LLM y los errores estructurales, OntoLogX emplea un bucle de autocorrección:

1. Verificación Sintáctica: Verifica el formato de salida.
2. Cumplimiento de Ontología: Ejecuta la salida contra las reglas SHACL.
3. Validación Semántica: Verifica inconsistencias lógicas (por ejemplo, nodos de Evento faltantes, relaciones no definidas).
4. Prompt de Corrección: Si se encuentran violaciones, el sistema genera un prompt dirigido al LLM para corregir errores específicos. Este bucle se repite (hasta 3 veces) hasta que se produce un KG válido o el sistema recurre a un grafo vacío.

E. Aplicación Posterior: Predicción de Tácticas

Una vez que se generan los KG y se agrupan en sesiones (basadas en proximidad temporal o lógica), una llamada final al LLM analiza el grafo agregado para predecir tácticas de MITRE ATT&CK. Esto conecta la evidencia de registros de bajo nivel con objetivos adversarios de alto nivel.

3. Contribuciones Clave

1. Ontología de Registro Ligera y Esquema SHACL: Un esquema específico del dominio diseñado para equilibrar la expresividad con la simplicidad requerida para la extracción automatizada desde registros crudos.
2. Agente OntoLogX: Un agente basado en LLM y aumentado por recuperación que transforma autónomamente registros crudos en KG compatibles con ontologías sin intervención humana.
3. Mecanismo de Corrección Iterativa: Un bucle de retroalimentación novedoso que utiliza la validación SHACL para refinar iterativamente las salidas de los LLM, mejorando significativamente la precisión estructural.
4. Evaluación Empírica: Un estudio exhaustivo que evalúa el sistema tanto en conjuntos de datos de referencia públicos como en un conjunto de datos de honeypot del mundo real, incluyendo un estudio de ablación de los componentes del sistema y una comparación entre ocho LLM diferentes.

4. Resultados Experimentales

Los autores evaluaron OntoLogX utilizando ocho LLM (incluyendo Llama 3.3, Claude 3.5, Mistral y Qwen3 Coder) en dos conjuntos de datos: el conjunto de datos de registro AIT (heterogéneo, no centrado en ataques) y un conjunto de datos de honeypot Cowrie (actividad adversaria del mundo real).

• Calidad de la Construcción de KG:

  • Rendimiento: El pipeline completo (Recuperación + Salida Estructurada + Corrección) logró las puntuaciones más altas de Precisión, Recall y F1.
  • Comparación de Modelos: Claude Sonnet 4 y Qwen3 Coder (32B) obtuvieron los mejores resultados. Cabe destacar que los modelos especializados en código (Qwen) y los modelos de razonamiento mostraron diversos niveles de éxito; los modelos de razonamiento (por ejemplo, gpt-oss) tuvieron dificultades con las herramientas de salida estructurada, a menudo fallando al llamar a la función correctamente.
  • Ablación: Los mecanismos de recuperación y corrección fueron cruciales. La recuperación por sí sola mejoró la consistencia, mientras que la corrección redujo significativamente las violaciones de SHACL.
  • Compensación: Existe una compensación entre las puntuaciones G-Eval (riqueza semántica) y las puntuaciones F1 (precisión estructural). Los autores argumentan que un enfoque equilibrado (G-Eval ~0.7–0.8) es óptimo para evitar grafos ruidosos pero semánticamente "ricos".

• Predicción de Tácticas MITRE ATT&CK:

  • OntoLogX superó a una línea base (LLM prediciendo tácticas directamente desde registros crudos).
  • Fortalezas: Mostró un Recall superior para tácticas complejas y dependientes del contexto como Descubrimiento, Acceso a Credenciales y Evasión de Defensa, que requieren razonamiento de múltiples pasos sobre entidades estructuradas.
  • Limitaciones: El rendimiento fue menor para tácticas que requieren correlación a largo plazo (por ejemplo, Persistencia), ya que estas a menudo dependen de un contexto ambiental no capturado completamente en sesiones de registro cortas.

5. Significado y Trabajo Futuro

Significado:

• Automatización: OntoLogX demuestra que los agentes autónomos pueden cerrar efectivamente la brecha entre registros no estructurados y CTI estructurada, reduciendo la necesidad de análisis manual y diseño de reglas.
• Interoperabilidad: Al fundamentar las salidas en una ontología estándar, el sistema permite consultas semánticas e integración con marcos de CTI existentes.
• Inteligencia Accionable: La capacidad de mapear eventos de bajo nivel a tácticas de MITRE ATT&CK proporciona a los analistas de seguridad contexto de amenazas de alto nivel inmediato.

Limitaciones y Direcciones Futuras:

• Costo Computacional: La dependencia de LLM introduce latencia y costos, lo cual puede ser un desafío para entornos de alto rendimiento y tiempo real.
• Alucinaciones: Aunque RAG y la validación reducen los riesgos, las alucinaciones no pueden eliminarse por completo.
• Escalabilidad: El trabajo futuro apunta a optimizar la orquestación de recursos, explorar el aprendizaje incremental y extender la ontología para cubrir diversas fuentes de registros empresariales e industriales.

En conclusión, OntoLogX representa un paso significativo hacia adelante en la Inteligencia de Amenazas Cibernéticas automatizada, demostrando que combinar restricciones guiadas por ontologías con el poder generativo de los LLM puede producir conocimientos de seguridad robustos, interpretables y procesables.