An Automated Framework for Extracting Reachable Attack Chains from Cyber Threat Intelligence Reports
Cet article propose un cadre automatisé qui exploite les grands modèles de langage pour extraire des unités d'attaque structurées, dotées de préconditions et de postconditions, à partir de rapports de cybermenaces non structurés, en les compilant en règles Datalog afin de permettre une analyse de l'accessibilité efficace et un raisonnement sur les chaînes d'attaque multi-étapes.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez l'internet comme une ville géante et bouillonnante où de mauvais acteurs tentent constamment de s'introduire dans des bâtiments, de voler des clés et de déverrouiller des portes. Pour les arrêter, des experts en sécurité rédigent des récits détaillés appelés rapports de « Cyber Threat Intelligence » (renseignements sur les cybermenaces). Ces histoires décrivent exactement comment un pirate s'est introduit : « D'abord, ils ont envoyé un faux e-mail. Ensuite, la victime a cliqué sur un lien. Puis, un virus s'est téléchargé de lui-même. » C'est comme le dossier d'un détective. Mais voici le problème : ces histoires sont écrites dans un langage humain désordonné. Un ordinateur essayant de lire ces textes se retrouve confus. Il ne peut pas facilement comprendre pourquoi l'étape deux s'est produite (il fallait que l'étape une soit terminée au préalable) ou ce qui a changé dans le système après l'étape deux. C'est comme essayer de construire un robot fonctionnel en utilisant uniquement un tas de fiches de recettes non triées ; vous connaissez les ingrédients, mais vous ne connaissez ni l'ordre, ni la relation de cause à effet.
Pour corriger cela, les chercheurs ont besoin d'un moyen de transformer ces récits désordonnés en un plan directeur strict et logique qu'un ordinateur peut réellement exécuter. Ils doivent savoir non seulement ce que le pirate a fait, mais aussi quelles conditions devaient être remplies pour qu'il puisse le faire (les « préconditions ») et dans quel nouvel état le système s'est retrouvé après coup (les « postconditions »). Pensez à un jeu de société : vous ne pouvez pas déplacer votre pion vers une nouvelle case à moins d'avoir obtenu le bon jet de dés (la condition), et une fois que vous avez bougé, votre pion se trouve désormais à un nouvel endroit (le résultat). Si vous pouvez traduire l'histoire d'un pirate en un ensemble parfait de règles de jeu, vous pouvez demander à l'ordinateur : « Un pirate peut-il passer de la porte d'entrée au coffre-fort ? » et obtenir une réponse définitive. C'est le défi que relève ce document : transformer de vagues récits d'espionnage en un jeu de défense cybernétique précis et jouable.
Les auteurs de ce document ont construit un cadre automatisé ingénieux pour résoudre ce casse-tête. Ils ont réalisé que simplement demander à un programme informatique intelligent (un grand modèle de langage ou LLM) de « lire l'histoire et de me donner les règles » ne fonctionne pas bien. Si vous demandez simplement toute la chose d'un coup, l'ordinateur se trompe souvent sur les détails, mélange l'ordre ou invente des étapes qui n'existent pas réellement. C'est comme demander à un étudiant d'écrire toute une dissertation en une seule respiration ; il pourrait manquer de logique. Au lieu de cela, les chercheurs ont conçu une chaîne de montage à plusieurs étapes.
D'abord, le système agit comme un éditeur méticuleux, extrayant les principaux « mouvements d'attaque » du texte, comme « télécharger un fichier » ou « contourner un pare-feu ». Ensuite, il agit comme un détective, traquant les indices spécifiques qui expliquent pourquoi ce mouvement était possible et ce qui s'est passé ensuite. Mais voici la magie : il ne laisse pas ces indices sous forme de phrases désordonnées. Il les force à adopter un code strict et standardisé, comme traduire « l'ordinateur est ouvert sur Internet » par un jeton de jeu spécifique appelé network.open. Cela est crucial car cela permet à l'ordinateur de vérifier si les « jetons » correspondent parfaitement. Si le premier mouvement laisse un jeton « porte ouverte », le mouvement suivant ne peut se produire que s'il nécessite un jeton « porte ouverte ».
Le système possède même une étape de « contrôle qualité ». Il lance une simulation pour voir si la chaîne de mouvements se connecte réellement du début à la fin. S'il trouve un lien brisé — comme une étape qui nécessite un jeton « mot de passe » qui n'a jamais été créé — il s'arrête et tente de le réparer, ou du moins signale l'erreur. Enfin, il compile tous ces étapes propres et vérifiées en un ensemble de règles logiques (en utilisant un langage appelé Datalog) qu'un ordinateur peut exécuter instantanément pour voir si un objectif d'attaque spécifique est atteignable.
Lorsqu'ils ont testé cette méthode sur 20 rapports d'attaques cyber réels contenant 334 étapes spécifiques, les résultats ont été impressionnants. Leur méthode a trouvé et formaté correctement 94,9 % des étapes d'attaque, battant les autres outils existants qui ne parvenaient qu'à environ 80 % ou moins. Plus important encore, lorsqu'ils ont laissé l'ordinateur exécuter la logique sur ces règles extraites, il a réussi à comprendre comment atteindre l'objectif du pirate dans 19 des 20 rapports. Cela prouve que leur approche de « chaîne de montage » est bien plus efficace pour transformer des récits humains désordonnés en règles de jeu propres et jouables qu'en demandant simplement à une IA intelligente de deviner tout l'ensemble d'un coup. Ils n'ont pas seulement trouvé les étapes ; ils ont construit un pont qui permet aux ordinateurs de comprendre réellement la logique d'une attaque, transformant un récit statique en une carte dynamique du danger.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.