TIJERE: A Novel Threat Intelligence Joint Extraction Model Based on Analyst Expert Knowledge

Resumen Técnico: TIJERE – Un Modelo de Extracción Conjunta de Inteligencia de Amenazas Basado en el Conocimiento Experto de Analistas

Planteamiento del Problema
La extracción de inteligencia de amenazas estructurada a partir de informes no estructurados es crítica para la construcción de Grafos de Conocimiento de Ciberseguridad (CKG) que automatizan el análisis de amenazas. Este proceso depende del Reconocimiento de Entidades Nombradas (NER) y la Extracción de Relaciones (RE). Aunque los modelos de Extracción Conjunta (JE) ofrecen ventajas teóricas sobre la Extracción en Pipeline (PE) al reducir la propagación de errores, los métodos JE existentes en el dominio de la ciberseguridad enfrentan obstáculos significativos:

1. Relaciones Superpuestas: Las oraciones a menudo contienen múltiples pares de entidades que involucran a las mismas entidades en diferentes roles, lo cual los esquemas de etiquetado estándar tienen dificultades para desambiguar.
2. Confusión de Características: Cuando las características de las entidades y las relaciones no están claramente separadas, los modelos tienen dificultades para aprender ambas tareas simultáneamente, particularmente cuando se utiliza la duplicación de oraciones para manejar superposiciones, introduciendo ruido.
3. Tipos de Relaciones Ambiguos: Los analistas a menudo utilizan expresiones no vocabulares (por ejemplo, "hasAttackTime") que carecen de claridad semántica para los modelos genéricos.
4. Ambigüedad del Lenguaje del Dominio: Los modelos de lenguaje genéricos no logran capturar la jerga específica de la ciberseguridad (por ejemplo, "Mimikatz"), lo que conduce a una pobre detección de entidades y a la propagación de ruido.
5. Escasez de Datos: Existe una falta de conjuntos de datos etiquetados conjuntamente y disponibles públicamente diseñados específicamente para NER y RE en ciberseguridad.

Metodología: El Marco TIJERE
Los autores proponen TIJERE, un marco JE impulsado por datos que reformula la tarea de extracción como un problema de Representación de Etiquetado Multisecuencial (MSLR). La arquitectura consta de los siguientes componentes clave:

• Representación de Etiquetado Multisecuencial (MSLR): En lugar de una sola secuencia por oración, TIJERE genera una secuencia separada para cada par de entidades válido dentro de una oración. Este enfoque maneja inherentemente las relaciones superpuestas al aislar el contexto para cada predicción de relación específica.
• Características de Dominio Experto (EDF): Para resolver la confusión de características y la ambigüedad semántica, el modelo integra dos características impulsadas por expertos en el MSLR:
  • Tipo de Entidad: Codifica la categoría semántica del sujeto y el objeto (por ejemplo, "HackOrg" y "Tool"). Esto proporciona al modelo un contexto específico del dominio, imitando el razonamiento del analista (por ejemplo, un grupo de hackers que utiliza una herramienta implica una relación "uses").
  • Máscara de Entidad: Una representación basada en vectores que resalta los tokens específicos que pertenecen al par de entidades bajo consideración, guiando al modelo para que se centre en la información posicional relevante.
• Incrustación SecureBERT+: El marco utiliza SecureBERT+, una variante de SecureBERT ajustada finamente en texto de ciberseguridad, para generar incrustaciones dinámicas que capturan la jerga específica del dominio y reducen la ambigüedad del lenguaje.
• Arquitectura del Modelo:
  • Codificador: SecureBERT+ seguido de una capa BiGRU para capturar dependencias secuenciales.
  • Cabeza NER: Una capa Densa y una capa de Campo Aleatorio Condicional (CRF) para el etiquetado de entidades a nivel de token.
  • Cabeza RE: Un mecanismo de agrupación de entidades agrega las incrustaciones de tokens basándose en la máscara de entidad, las concatena con incrustaciones de tipo de entidad estáticas y las pasa a través de una capa Densa con Softmax para la clasificación de relaciones.
  • Función de Pérdida: Una suma ponderada de la pérdida NER (CRF) y la pérdida RE (Entropía Cruzada) se utiliza para la optimización conjunta.

Contribuciones Clave

1. Modelo TIJERE: Una arquitectura novedosa que combina MSLR con características impulsadas por expertos (tipo de entidad y máscara) para abordar las relaciones superpuestas y la confusión de características sin depender de módulos externos basados en reglas que imitan enfoques en pipeline.
2. Conjunto de Datos DNRTI-JE: La introducción del primer conjunto de datos etiquetado conjuntamente disponible públicamente para NER y RE en ciberseguridad. Extiende el conjunto de datos DNRTI original con 15 tipos de relaciones predefinidos y una ontología de dominio, cubriendo 6.592 oraciones que describen grupos de Amenazas Persistentes Avanzadas (APT).
3. Validación Empírica: Una evaluación exhaustiva que demuestra que TIJERE supera a los métodos JE y PE existentes más avanzados en el dominio de la ciberseguridad.

Resultados Experimentales
Evaluado en el conjunto de datos DNRTI-JE, el modelo TIJERE (específicamente la variante SecureBERT+-BiGRU-CRF con EDFs habilitados) logró un rendimiento de vanguardia:

• Rendimiento NER: Puntuación F1 de 0.93 (Precisión: 0.93, Recuperación: 0.94).
• Rendimiento RE: Puntuación F1 de 0.98 (Precisión: 0.98, Recuperación: 0.99).
• Estudios de Ablación:
  • Habilitar EDFs mejoró significativamente el rendimiento de RE (por ejemplo, la puntuación F1 de RE BERT-CRF saltó de 0.44 a 0.97), mientras que el rendimiento NER se mantuvo estable.
  • La característica "Tipo de Entidad" por sí sola proporcionó ganancias sustanciales, pero la combinación de Tipo de Entidad y Máscara de Entidad produjo la mayor precisión, confirmando la naturaleza complementaria de las señales semánticas y posicionales.
  • Las variantes de SecureBERT+ superaron consistentemente a los modelos estándar BERT y RoBERTa, destacando la importancia del preentrenamiento específico del dominio.

Significado y Afirmaciones
El artículo afirma que TIJERE representa el primer enfoque impulsado por datos diseñado específicamente para abordar los desafíos únicos de la extracción conjunta en ciberseguridad. Al integrar el conocimiento experto de los analistas directamente en la representación de características del modelo (mediante EDFs) y utilizar una estrategia de etiquetado multisecuencial, TIJERE mitiga eficazmente la confusión de características y los problemas de relaciones superpuestas que afectan a los métodos existentes.

Los autores afirman que la combinación de TIJERE y el estándar de referencia DNRTI-JE estandarizado permite la extracción de inteligencia de alto rendimiento con potencial transferible a otros dominios que requieren extracción de información estructurada, como la atención médica, las finanzas y la bioinformática. El trabajo enfatiza que, aunque el enfoque requiere conocimiento experto para la ingeniería de características y el modelado de datos, ofrece una alternativa robusta y eficiente a las soluciones existentes complejas, pesadas en reglas o computacionalmente costosas, facilitando la construcción de CKG de alta calidad para la defensa proactiva.