Vendor-Conditioned Contrastive Learning for Predicting Organizational Cyber Threat Targets

Riepilogo Tecnico: TRACE – Apprendimento Contrastivo Condizionato dal Fornitore per la Previsione degli Obiettivi Organizzativi delle Minacce Informatiche

Enunciato del Problema
Gli attacchi informatici infliggono danni finanziari massicci, con costi globali previsti per raggiungere 15,6 trilioni di dollari annualmente entro il 2029. Sebbene l'Intelligence sulle Minacce Informatiche (CTI) si basi pesantemente sull'analisi dei forum di hacker dove gli attori malevoli condividono codice di exploit e tecniche, esiste un divario critico nella ricerca attuale: identificare quali organizzazioni specifiche sono prese di mira da questi exploit. Il lavoro precedente si è concentrato sull'identificazione degli exploit, sulla mappatura MITRE ATT&CK o sul rilevamento cross-linguistico, ma raramente sulla previsione dell'obiettivo organizzativo. Inoltre, i modelli esistenti spesso non tengono conto dello spostamento della distribuzione temporale. Man mano che emergono nuovi fornitori, prodotti e vulnerabilità, il linguaggio utilizzato nei post sugli exploit evolve. I modelli addestrati su dati storici potrebbero apprendere modelli che diventano inaffidabili quando applicati a post futuri, rendendo necessari protocolli di valutazione che testino la generalizzazione prospettica piuttosto che l'accuratezza statica.

Metodologia
Per affrontare queste sfide, gli autori propongono TRACE (Rappresentazione Temporale e Classificazione degli Exploit), un framework progettato per prevedere gli obiettivi organizzativi mantenendo la robustezza rispetto alla deriva temporale.

1. Costruzione dei Dati:

   • Gli autori hanno costruito un corpus su larga scala e multi-sorgente sfruttando il dataset HackerSignal, che aggrega 8,7 milioni di post provenienti da 35 fonti (inclusi forum di hacker, database di exploit e mercati darknet) che coprono tre decenni (1990–2026).
   • Da questo, è stato selezionato un sottoinsieme di 352.866 post in inglese provenienti da fonti ricche di exploit per l'estrazione delle entità.
   • Un gazetteer curato contenente oltre 150 pattern di nomi di fornitori e prodotti è stato utilizzato per estrarre e normalizzare i riferimenti ai fornitori, mappandoli su sette categorie organizzative (ad es. CMS/Open Source, Software Aziendale, Piattaforma Web, Networking/IoT, Mobile, Gaming, Database).
   • Questo processo ha prodotto un dataset gold-standard di 129.126 campioni.
   • Divisione Temporale: Per simulare il dispiegamento nel mondo reale ed evitare la perdita di dati, i dati sono stati divisi cronologicamente: addestramento su post precedenti al 2022 (125.963 campioni), validazione su 2022–2023 e test su 2024+ (Fuori Distribuzione/OOD).

2. Architettura del Modello (TRACE):

   • Codificatore Base: Il framework utilizza CySecBERT, un codificatore BERT-base pre-addestrato specificamente su corpora di cybersecurity per gestire il vocabolario specializzato (CVE, comandi shell, payload offuscati).
   • Design a Doppia Testata:
     • Testata di Classificazione: Un livello lineare mappa la rappresentazione [CLS] del codificatore sui logit delle sette categorie organizzative, ottimizzato tramite la perdita standard di entropia incrociata ($L_{CE}$).
     • Testata di Proiezione Contrastiva: Un MLP a due livelli proietta la rappresentazione in uno spazio a 128 dimensioni. Questa testata è ottimizzata utilizzando una perdita Contrastiva Supervisionata (SupCon) ($L_{SC}$).
   • Obiettivo Condizionato dal Fornitore: A differenza della classificazione standard, la perdita contrastiva raggruppa i campioni per identità del fornitore piuttosto che per categoria organizzativa. Essa attira insieme gli embedding dei post che discutono dello stesso fornitore, spingendo allo stesso tempo i fornitori diversi. Questo sfrutta l'osservazione che i post sugli exploit per lo stesso fornitore condividono vocabolario specifico e pattern di codice che attraversano categorie più ampie.
   • Obiettivo di Addestramento: La perdita totale è una somma ponderata: $L = L_{CE} + \lambda L_{SC}$, dove $\lambda = 0,1$. Questo assicura che la classificazione rimanga l'obiettivo principale, mentre l'obiettivo contrastivo modella lo spazio degli embedding per essere coerente con il fornitore.

Contributi Chiave

1. Corpus Multi-Sorgente su Larga Scala: La creazione di un dataset etichettato di 129.126 campioni derivato da 9 database di exploit e forum di hacker distinti, che coprono tre decenni di dati.
2. Apprendimento Contrastivo Condizionato dal Fornitore: L'introduzione di una strategia di fine-tuning che utilizza l'identità del fornitore come segnale di supervisione ausiliario. Questo approccio incoraggia il modello ad apprendere rappresentazioni che preservano la struttura a livello di fornitore, migliorando la generalizzazione sotto lo spostamento della distribuzione temporale.
3. Valutazione Temporale OOD: Un protocollo di valutazione rigoroso che testa le prestazioni del modello su dati futuri (2024+), dimostrando la capacità del framework di gestire il linguaggio degli exploit in evoluzione.

Risultati Sperimentali
Il framework TRACE è stato valutato contro 17 modelli di riferimento, inclusi ML classici (Naïve Bayes, SVM, Regressione Logistica), architetture di deep learning (RNN, LSTM, CNN, Transformers) con embedding GloVe e FastText, e transformer pre-addestrati (BERT, RoBERTa, ModernBERT, CySecBERT).

• Prestazioni: TRACE ha raggiunto un Macro F1-score del 97,00% e un'accuratezza del 98,65% sul set di test temporale OOD, superando significativamente tutte le linee di base.
• Confronto con le Linee di Base:
  • Adattamento di Dominio: Il pre-addestramento specifico del dominio si è rivelato critico. CySecBERT (F1=94,45%) ha superato significativamente il BERT generico (89,29%) e RoBERTa (84,36%).
  • Embedding: Per le linee di base di deep learning, gli embedding FastText addestrati sul corpus degli exploit hanno costantemente superato gli embedding GloVe generici (ad es. BiLSTM: 81,84% contro 63,11%).
  • Guadagno Contrastivo: L'obiettivo contrastivo condizionato dal fornitore ha fornito un impulso sostanziale rispetto al fine-tuning standard di CySecBERT, migliorando il punteggio F1 di 2,55 punti percentuali (da 94,45% a 97,00%).
• Analisi per Categoria: TRACE ha mostrato il miglioramento più significativo nelle categorie a basso supporto, in particolare Gaming (F1 aumentato dal 72,34% al 91,80%), imparando rappresentazioni coerenti con il fornitore che hanno meglio separato le classi rare.

Significato e Affermazioni
Il documento afferma che TRACE fornisce un meccanismo robusto per la CTI proattiva, consentendo agli stakeholder di identificare rapidamente quali industrie sono prese di mira da exploit emergenti. Lo studio evidenzia che la scelta dell'embedding è il singolo fattore più significativo nelle prestazioni del modello; il pre-addestramento specifico del dominio e gli embeddings addestrati sul corpus sono essenziali per gestire il gergo specializzato delle comunità di hacker.

Gli autori sottolineano che la loro valutazione temporale OOD offre una valutazione realistica dell'utilità del modello, poiché i modelli addestrati su dati storici statici spesso falliscono quando dispiegati contro minacce in evoluzione. Integrando la struttura a livello di fornitore nell'obiettivo di apprendimento, TRACE dimostra che i metadati ausiliari possono migliorare il potere discriminatorio delle rappresentazioni per la previsione degli obiettivi organizzativi, anche quando il vocabolario target e i pattern cambiano nel tempo.

Limitazioni
Gli autori notano che la loro etichettatura basata su gazetteer, sebbene ad alta precisione, potrebbe perdere fornitori non presenti nel dizionario. Inoltre, la tassonomia a 7 categorie aggrega le organizzazioni in gruppi ampi, il che può offuscare i confini (ad es. distinguere tra Piattaforme Web e CMS Open Source). I bassi conteggi di campioni per categorie come Database (2 campioni di test) e Gaming (30 campioni di test) limitano l'affidabilità statistica delle metriche per categoria per quelle specifiche classi.