CVE-TTP KG: Knowledge Graph Linking Software Vulnerabilities to Attack Behaviors

Resumen Técnico: CVE-TTP KG

Declaración del Problema
En el panorama de la ciberseguridad contemporánea, las vulnerabilidades de software han evolucionado hacia activos estratégicos instrumentalizados por actores de amenazas. Si bien repositorios como el Common Vulnerabilities and Exposures (CVE) y la National Vulnerability Database (NVD) proporcionan identificadores estructurados y metadatos técnicos, frecuentemente carecen de contexto operativo. Específicamente, estas bases de datos no vinculan intrínsecamente las vulnerabilidades con los comportamientos de los atacantes, tales como tácticas y técnicas, que son esenciales para comprender cómo se explotan las fallas en escenarios del mundo real. Esta desconexión limita la capacidad de los equipos de seguridad para priorizar amenazas basadas en la intención y la capacidad del adversario. Con más de 40,000 nuevos CVE reportados solo en 2024, el análisis manual es insuficiente, lo que requiere soluciones automatizadas que puedan correlacionar los datos de vulnerabilidad con patrones de comportamiento definidos en marcos de trabajo como MITRE ATT&CK.

Metodología
Los autores proponen el CVE-TTP Knowledge Graph (CVE-TTP KG), un marco diseñado para vincular vulnerabilidades de software con comportamientos de atacantes (Tácticas, Técnicas y Procedimientos). La arquitectura del sistema consta de cuatro módulos primarios:

1. Recolección y Enriquecimiento de Datos:

   • Se agregó un conjunto de datos de 276,289 registros CVE (1999–2025) de NVD y la lista MITRE CVE V5.
   • Se utilizó un pipeline de mapeo de múltiples etapas (CVE → CWE → CAPEC → Técnica → Táctica) para generar etiquetas de verdad fundamental para 178,233 registros enriquecidos. Este proceso vinculó las vulnerabilidades con 95 técnicas de ATT&CK y 14 categorías de tácticas.
   • Para abordar las limitaciones de los mapeos públicos dispersos, se desarrolló un modelo de clasificación automatizado para predecir tácticas y técnicas directamente a partir de las descripciones textuales de los CVE.

2. Clasificación CVE-a-TTP:

   • Se ajustaron modelos basados en Transformers para la clasificación multietiqueta.
   • Se evaluaron dos modelos pre-entrenados específicos de ciberseguridad: SecBERT y CySecBERT.
   • Las instancias de entrada combinaron el identificador CVE, la descripción textual y el identificador CWE asociado.

3. Extracción de Entidades y Relaciones (ERE):

   • Se creó un conjunto de datos anotado manualmente de 1,080 descripciones de CVE, que contiene 24,820 entidades y 43,608 relaciones, alineadas con el esquema STIX 2.0.
   • Se implementaron y compararon dos estrategias de extracción:
     • Enfoque de Pipeline: Un proceso de dos etapas utilizando una arquitectura BERT–BiLSTM–CRF para el Reconocimiento de Entidades de Ciberseguridad (CER) seguido de un clasificador basado en BERT para la Extracción de Relaciones (RE).
     • Enfoque Conjunto (Joint): Un marco de transformer basado en spans (usando CySecBERT) que extrae simultáneamente entidades y relaciones, tratando los spans como candidatos para evitar la propagación de errores inherente a los métodos de pipeline.

4. Construcción del Grafo de Conocimiento:

   • Las ternas extraídas ($<entidad, relación, entidad>$) se poblaron en una base de datos de grafos Neo4j.
   • El grafo modela vulnerabilidades, productos, proveedores, debilidades y TTPs como nodos, conectados por aristas semánticas (p. ej., afecta_a, tiene_debilidad, logrado_a_través_de, asociado_con).

Contribuciones Clave

• Conjuntos de Datos Novedosos: Los autores introdujeron conjuntos de datos de clasificación multietiqueta para tácticas y técnicas de ATT&CK, junto con un conjunto de datos anotado manualmente para la extracción de entidades y relaciones de vulnerabilidad.
• Marco de Clasificación Automatizado: Implementación de un modelo basado en Transformers para mapear automáticamente las descripciones de CVE a las tácticas y técnicas de ATT&CK relevantes sin depender únicamente del mapeo manual.
• Análisis Comparativo de Extracción: Desarrollo y evaluación de enfoques de aprendizaje tanto de pipeline como conjuntos para extraer entidades de ciberseguridad y sus relaciones semánticas a partir de texto de vulnerabilidad.
• Grafo de Conocimiento Estructurado: Construcción de un KG integral que integra datos de CVE con el comportamiento adversarial, permitiendo la visualización estructurada y el razonamiento de máquinas para la detección de amenazas y la priorización de riesgos.

Resultados Experimentales

• Desempeño de Clasificación:
  • CySecBERT superó consistentemente a SecBERT.
  • Clasificación de Técnicas: CySecBERT logró un F1-score macro de 87.71% y un puntaje Jaccard de 0.9659.
  • Clasificación de Tácticas: CySecBERT logró un F1-score macro de 96.16% y un puntaje Jaccard de 0.9858.
• Desempeño de Extracción de Entidades y Relaciones:
  • Enfoque de Pipeline: Logró un F1-score macro de extracción de entidades de 0.86 y un F1-score de extracción de relaciones de 0.99.
  • Enfoque Conjunto (Joint): Logró un F1-score macro de extracción de entidades de 0.88 (micro-F1 0.9586) y un F1-score macro de extracción de relaciones de 0.78 (bajo restricciones estrictas de NEC).
• Generación de Grafos:
  • El Modelo Conjunto (Joint Model) produjo un grafo semánticamente más preciso, identificando correctamente relaciones complejas (p. ej., distinguiendo "Denegación de Servicio" como un tipo de impacto en lugar de una debilidad) y reduciendo la propagación de errores.
  • El Modelo de Pipeline demostró alta precisión en la extracción de relaciones, pero sufrió de inconsistencias semánticas, como reemplazar relaciones específicas de logrado_a_través_de con enlaces genéricos de asociado_con y clasificar erróneamente tipos de vulnerabilidad.

Significancia y Afirmaciones
El artículo afirma que el CVE-TTP KG aborda una brecha crítica en el análisis de vulnerabilidades al modelar explícitamente las conexiones entre los CVE y los comportamientos de los adversarios. Los autores sostienen que este enfoque permite:

• Comprensión más Profunda: Una visión más clara de los patrones de explotación, objetivos de amenazas y cadenas de ataque.
• Conciencia Situacional Mejorada: Visualización estructurada para analistas humanos y razonamiento de máquinas para la detección automatizada de amenazas.
• Escalabilidad: Un pipeline automatizado capaz de procesar el creciente volumen de divulgaciones de vulnerabilidades.

Los autores concluyen que, si bien el modelo conjunto ofrece una mayor robustez en la extracción de extremo a extremo, se requiere trabajo futuro para integrar Modelos de Lenguaje de Gran Escala (LLMs) para mejorar aún más la calidad de la extracción, abordando específicamente los desafíos en la disambiguación de entidades y la resolución de correferencia.