Vendor-Conditioned Contrastive Learning for Predicting Organizational Cyber Threat Targets

Résumé Technique : TRACE – Apprentissage Contrastif Conditionné par le Fournisseur pour la Prédiction des Cibles Organisationnelles de Cybermenaces

Énoncé du Problème
Les cyberattaques infligent des dommages financiers massifs, les coûts mondiaux devant atteindre 15,6 billions de dollars par an d'ici 2029. Bien que le renseignement sur les cybermenaces (CTI) repose fortement sur l'analyse des forums de pirates où les acteurs malveillants partagent des codes d'exploitation et des techniques, un écart critique existe dans la recherche actuelle : identifier quelles organisations spécifiques sont visées par ces exploitations. Les travaux antérieurs se sont concentrés sur l'identification des exploitations, la cartographie MITRE ATT&CK ou la détection interlinguistique, mais rarement sur la prédiction des cibles organisationnelles. De plus, les modèles existants échouent souvent à prendre en compte le décalage de distribution temporelle. À mesure que de nouveaux fournisseurs, produits et vulnérabilités émergent, le langage utilisé dans les publications d'exploitation évolue. Les modèles entraînés sur des données historiques peuvent apprendre des modèles qui deviennent peu fiables lorsqu'ils sont appliqués à des publications futures, nécessitant des protocoles d'évaluation qui testent la généralisation prospective plutôt que la précision statique.

Méthodologie
Pour répondre à ces défis, les auteurs proposent TRACE (Représentation Temporelle et Classification des Exploitations), un cadre conçu pour prédire les cibles organisationnelles tout en maintenant une robustesse face à la dérive temporelle.

1. Construction des Données :

   • Les auteurs ont construit un corpus multi-sources à grande échelle exploitant le jeu de données HackerSignal, qui agrège 8,7 millions de publications provenant de 35 sources (y compris des forums de pirates, des bases de données d'exploitations et des marchés du darknet) sur trois décennies (1990–2026).
   • À partir de celui-ci, un sous-ensemble de 352 866 publications en anglais provenant de sources riches en exploitations a été sélectionné pour l'extraction d'entités.
   • Un gazetteer curé contenant plus de 150 modèles de noms de fournisseurs et de produits a été utilisé pour extraire et normaliser les références aux fournisseurs, les mappant vers sept catégories organisationnelles (par exemple, CMS/Open Source, Logiciels d'Entreprise, Plateforme Web, Réseaux/IoT, Mobile, Jeux Vidéo, Base de Données).
   • Ce processus a produit un jeu de données de référence de 129 126 échantillons.
   • Découpage Temporel : Pour simuler un déploiement réel et éviter les fuites de données, les données ont été divisées chronologiquement : entraînement sur les publications avant 2022 (125 963 échantillons), validation sur 2022–2023, et test sur 2024+ (Hors Distribution/OOD).

2. Architecture du Modèle (TRACE) :

   • Encodeur de Base : Le cadre utilise CySecBERT, un encodeur BERT-base pré-entraîné spécifiquement sur des corpus de cybersécurité pour gérer le vocabulaire spécialisé (CVE, commandes shell, charges utiles obfusquées).
   • Conception à Double Tête :
     • Tête de Classification : Une couche linéaire mappe la représentation [CLS] de l'encodeur vers les logits des sept catégories organisationnelles, optimisée via une perte d'entropie croisée standard ($L_{CE}$).
     • Tête de Projection Contrastive : Un MLP à deux couches projette la représentation dans un espace à 128 dimensions. Cette tête est optimisée à l'aide d'une perte Contrastive Supervisée (SupCon) ($L_{SC}$).
   • Objectif Conditionné par le Fournisseur : Contrairement à la classification standard, la perte contrastive regroupe les échantillons par identité du fournisseur plutôt que par catégorie organisationnelle. Elle rapproche les plongements des publications discutant du même fournisseur tout en éloignant les différents fournisseurs. Cela exploite l'observation que les publications d'exploitation pour le même fournisseur partagent un vocabulaire spécifique et des modèles de code qui traversent les catégories plus larges.
   • Objectif d'Entraînement : La perte totale est une somme pondérée : $L = L_{CE} + \lambda L_{SC}$, où $\lambda = 0,1$. Cela garantit que la classification reste l'objectif principal tandis que l'objectif contrastif façonne l'espace d'incorporation pour qu'il soit cohérent avec le fournisseur.

Contributions Clés

1. Corpus Multi-Sources à Grande Échelle : La création d'un jeu de données étiqueté de 129 126 échantillons dérivé de 9 bases de données d'exploitations et forums de pirates distincts, couvrant trois décennies de données.
2. Apprentissage Contrastif Conditionné par le Fournisseur : L'introduction d'une stratégie de fine-tuning qui utilise l'identité du fournisseur comme signal de supervision auxiliaire. Cette approche encourage le modèle à apprendre des représentations qui préservent la structure au niveau du fournisseur, améliorant la généralisation sous décalage de distribution temporelle.
3. Évaluation Temporelle OOD : Un protocole d'évaluation rigoureux qui teste les performances du modèle sur des données futures (2024+), démontrant la capacité du cadre à gérer le langage d'exploitation en évolution.

Résultats Expérimentaux
Le cadre TRACE a été évalué par rapport à 17 modèles de référence, incluant des ML classiques (Naïve Bayes, SVM, Régression Logistique), des architectures d'apprentissage profond (RNN, LSTM, CNN, Transformers) avec des plongements GloVe et FastText, et des transformers pré-entraînés (BERT, RoBERTa, ModernBERT, CySecBERT).

• Performance : TRACE a obtenu un score Macro F1 de 97,00 % et une précision de 98,65 % sur l'ensemble de test OOD temporel, surpassant significativement toutes les lignes de base.
• Comparaison avec les Lignes de Base :
  • Adaptation de Domaine : Le pré-entraînement spécifique au domaine s'est avéré critique. CySecBERT (F1=94,45 %) a significativement surpassé le BERT à usage général (89,29 %) et RoBERTa (84,36 %).
  • Plongements : Pour les lignes de base d'apprentissage profond, les plongements FastText entraînés sur le corpus d'exploitation ont constamment surpassé les plongements GloVe génériques (par exemple, BiLSTM : 81,84 % contre 63,11 %).
  • Gain Contrastif : L'objectif contrastif conditionné par le fournisseur a fourni un boost substantiel par rapport au fine-tuning standard de CySecBERT, améliorant le score F1 de 2,55 points de pourcentage (de 94,45 % à 97,00 %).
• Analyse par Catégorie : TRACE a montré l'amélioration la plus significative dans les catégories à faible soutien, en particulier Jeux Vidéo (F1 augmenté de 72,34 % à 91,80 %), en apprenant des représentations cohérentes avec le fournisseur qui ont mieux séparé les classes rares.

Signification et Revendications
L'article revendique que TRACE fournit un mécanisme robuste pour le CTI proactif, permettant aux parties prenantes d'identifier rapidement quelles industries sont visées par les exploitations émergentes. L'étude souligne que le choix de l'incorporation est le facteur le plus significatif dans les performances du modèle ; le pré-entraînement spécifique au domaine et les incorporations entraînées sur le corpus sont essentiels pour gérer le jargon spécialisé des communautés de pirates.

Les auteurs soulignent que leur évaluation OOD temporelle offre une évaluation réaliste de l'utilité du modèle, car les modèles entraînés sur des données historiques statiques échouent souvent lorsqu'ils sont déployés face à des menaces en évolution. En intégrant la structure au niveau du fournisseur dans l'objectif d'apprentissage, TRACE démontre que les métadonnées auxiliaires peuvent améliorer le pouvoir discriminatif des représentations pour la prédiction de cibles organisationnelles, même lorsque le vocabulaire cible et les modèles évoluent au fil du temps.

Limites
Les auteurs notent que leur étiquetage basé sur un gazetteer, bien que de haute précision, peut manquer des fournisseurs absents du dictionnaire. De plus, la taxonomie à 7 catégories agrège les organisations en groupes larges, ce qui peut brouiller les frontières (par exemple, distinguer entre les Plateformes Web et les CMS Open Source). Les faibles nombres d'échantillons pour des catégories comme Base de Données (2 échantillons de test) et Jeux Vidéo (30 échantillons de test) limitent la fiabilité statistique des métriques par catégorie pour ces classes spécifiques.