Context-aware Entity-Relation Extraction for Threat Intelligence Knowledge Graphs

Résumé technique : Extraction d'entités et de relations contextuelles pour les graphes de connaissances en renseignement sur les menaces (CTiKG)

Énoncé du problème
La construction de graphes de connaissances en cybersécurité (CKG) est essentielle pour unifier diverses sources de renseignement sur les menaces cybernétiques (CTI) en formats structurés et interrogeables, soutenant ainsi une défense proactive et une analyse en temps réel. Cependant, l'automatisation de ce processus est entravée par le caractère non structuré des rapports CTI, qui présentent des récits complexes, un jargon spécifique au domaine et une ambiguïté sémantique. Les approches existantes relèvent généralement de deux catégories : l'extraction conjointe (JE) et l'extraction en pipeline (PE). Bien que les modèles JE intègrent la reconnaissance d'entités nommées (NER) et l'extraction de relations (RE) pour réduire la propagation des erreurs, ils souffrent souvent de confusion des caractéristiques, de difficultés avec les relations chevauchantes et d'une rigidité dans l'optimisation modulaire. À l'inverse, les approches PE permettent une conception modulaire mais sont vulnérables à la propagation des erreurs, où les imprécisions dans la reconnaissance d'entités se répercutent sur la classification des relations, dégradant la qualité globale du graphe de connaissances. De plus, les itérations précédentes des frameworks de pipeline (tels que le travail antérieur des auteurs, TiKG) reposaient sur des modèles de langage génériques ou des classificateurs (par exemple, TDD-softmax) qui produisaient des séquences d'étiquetage incohérentes et peinaient avec la terminologie spécifique à la cybersécurité.

Méthodologie
L'article présente le framework Context-aware Threat Intelligence Knowledge Graph (CTiKG), une architecture de pipeline conçue pour répondre aux limitations des modèles précédents à travers trois phases distinctes :

1. Collecte et traitement des données : Les rapports sont extraits de dépôts (par exemple, MITRE ATT&CK, dépôts APT) et convertis en texte brut. Le prétraitement inclut la sanitisation (par exemple, l'obfuscation des URL/adresses e-mail) pour simuler des entrées brutes.
2. Extraction d'entités et de relations : Cette phase centrale emploie deux modules spécialisés :
   • Reconnaissance d'entités (NER) : Les auteurs proposent une architecture SecureBERT+-BiGRU-CRF. Ce modèle remplace le classificateur TDD-softmax précédent par une couche de Champs Aléatoires Conditionnels (CRF) pour imposer des transitions valides de balises BIO et améliorer la cohérence au niveau de la séquence. Il utilise SecureBERT+, une variante de BERT adaptée au domaine, pour générer des plongements contextuels, qui sont ensuite traités par une Unité Récurrente à Portes Bidirectionnelle (BiGRU) pour capturer les dépendances entre tokens avant que la couche CRF ne réalise la classification au niveau du token.
   • Extraction de relations (RE) : Reconnaissant que les types de relations sont indépendants et manquent de dépendances séquentielles, les auteurs utilisent une architecture SecureBERT+-BiGRU-TDD (Time-Distributed Dense). Ce modèle remplace la couche CRF par une couche TDD pour simplifier l'architecture et permettre une inférence plus rapide. Crucialement, cette phase intègre une ontologie spécifique au domaine (inspirée de UCO 2.0) pour guider la classification des paires d'entités. L'ontologie définit 15 types de relations spécifiques (par exemple, affiliatedWith, targets, hasVulnerability) et est utilisée pour filtrer les paires d'entités invalides, atténuant ainsi les mauvaises classifications.
3. Construction et analyse : Les triplets extraits sont stockés dans Neo4j, où les entités servent de nœuds et les relations d'arêtes, permettant la récupération et l'analyse du graphe construit via des requêtes.

Contributions clés

• Architecture NER novatrice : L'introduction d'un modèle SecureBERT+-BiGRU-CRF qui réalise une amélioration du score F1 allant jusqu'à 4 % sur 21 catégories d'entités, en résolvant les problèmes d'étiquetage incohérent des classificateurs précédents basés sur softmax.
• Architecture RE améliorée : Un nouveau modèle SecureBERT+-BiGRU-TDD qui intègre des plongements contextuels spécifiques au domaine avec un contrôle d'erreur basé sur l'ontologie, produisant une amélioration du score F1 allant jusqu'à 8 % pour l'extraction de relations.
• Augmentation et publication de l'ensemble de données : La création et la publication de DNRTI-AUG-STIX2, un ensemble de données augmenté dérivé de DNRTI-STIX2. Cela a impliqué l'annotation manuelle de 1 367 phrases supplémentaires par des experts en sécurité pour remédier au déséquilibre de classe sévère et à la consolidation de types d'entités rares (par exemple, fusionner SHA1, SHA2, MD5 en un seul type HASH). L'ensemble de données comprend 21 types d'entités alignés sur STIX 2.1.
• Évaluation comparative complète : Une évaluation approfondie sur l'ensemble de données DNRTI-AUG-STIX2, avec une validation supplémentaire sur les benchmarks DNRTI et STUCCO, démontrant la robustesse et la généralisabilité du framework.

Résultats expérimentaux
Le framework CTiKG proposé a été évalué par rapport à des références de pointe (incluant BiLSTM-CRF, RoBERTa et des variantes précédentes de TiKG) en utilisant les métriques de Précision, Rappel et Score F1 :

• Performance NER : Le modèle SecureBERT+-BiGRU-CRF a obtenu un score F1 de 0,93 sur DNRTI-AUG-STIX2, 0,94 sur DNRTI et 0,98 sur STUCCO. Cela représente un gain de 3 à 4 % par rapport aux références précédentes. Les résultats indiquent que, bien que SecureBERT+ ait montré des améliorations significatives dans la modélisation du langage masqué, les gains principaux en NER ont été pilotés par la capacité de la couche CRF à modéliser les dépendances séquentielles.
• Performance RE : Le modèle SecureBERT+-BiGRU-TDD a obtenu un score F1 de 0,98 sur DNRTI-AUG-STIX2, surpassant le module RE TiKG précédent de 6 à 8 % sur toutes les métriques. L'étude a noté que les couches CRF n'offraient aucun bénéfice mesurable par rapport aux TDD pour l'extraction de relations, justifiant ainsi l'architecture simplifiée.
• Généralisation : Le modèle a démontré une performance élevée et cohérente sur divers ensembles de données, y compris l'ensemble de données STUCCO axé sur les vulnérabilités, attribué aux motifs linguistiques cohérents dans les descriptions de vulnérabilités et à l'adaptation au domaine du modèle.

Signification et affirmations
L'article affirme que CTiKG établit un framework robuste et conscient de la sécurité pour l'analyse des menaces, le profilage et le développement de stratégies de défense. En découplant la NER et la RE tout en exploitant des plongements spécifiques au domaine et des contraintes ontologiques, le framework atténue efficacement la propagation des erreurs inhérente aux approches de pipeline traditionnelles. Les auteurs soulignent que l'intégration de SecureBERT+ et de l'ontologie du domaine améliore significativement la précision et la généralisabilité des CKG, permettant une transformation plus précise des rapports CTI non structurés en renseignement structuré. La publication des ensembles de données curatés et du code sur GitHub est mise en avant comme une contribution clé favorisant la reproductibilité et la recherche ultérieure dans le domaine. Le travail est présenté comme une extension du framework TiKG, répondant spécifiquement à ses limitations dans la gestion de jeux de données complexes et du jargon spécifique à la cybersécurité.