From IOCs to Regex: Automating CTI Operationalization for SOC with LLMs

Titolo

Dagli IOC ai Regex: Automazione dell'Operazionalizzazione della CTI per i SOC tramite LLM

1. Il Problema

I rapporti di Cyber Threat Intelligence (CTI) forniscono Indicatori di Compromissione (IOC) essenziali per le operazioni di sicurezza. Tuttavia, esiste un divario fondamentale tra la descrizione testuale degli attacchi nei report CTI e la registrazione di tali eventi nei log di sistema reali.

• Limitazioni dell'approccio manuale: Gli analisti di sicurezza devono estrarre manualmente gli IOC dai report e trasformarli in espressioni regolari (regex) per poterli utilizzare nei sistemi SIEM (Security Information and Event Management) e nelle forensi digitali. Questo processo è lento, soggetto a errori, richiede competenze specializzate e non è sostenibile data la crescita esponenziale del volume dei report CTI.
• Limitazioni delle soluzioni attuali: Le ricerche recenti si sono concentrate sull'estrazione automatica degli IOC tramite LLM (Large Language Models), ma si fermano alla produzione di stringhe grezze. Queste stringhe non possono essere direttamente applicate ai log a causa di variazioni nel contesto del sistema, nei formati dei log o nel comportamento degli attaccanti.
• Il Gap Operativo: Non esiste un metodo automatizzato affidabile per convertire gli IOC estratti in regex sintatticamente validi e semanticamente precisi, capaci di gestire gruppi di cattura (capture groups) corretti e di bilanciare precisione e generalizzazione.

2. Metodologia: IOCRegex-gen

Gli autori propongono IOCRegex-gen, un sistema basato su LLM che automatizza l'intero flusso di traduzione dagli IOC alle regex. Il sistema si articola in due fasi principali per affrontare tre sfide critiche (C1, C2, C3):

A. Fase di Identificazione dei Gruppi di Cattura (Capture Group Finding)

Questa fase risolve la sfida C1 (distinguere quali parti dell'IOC sono fisse e quali variabili).

• Database a Grafo: Il sistema utilizza un database a grafo (Neo4j) contenente strutture gerarchiche di percorsi di file nativi, chiavi di registro e argomenti di riga di comando per Windows (dalla versione 8 al 2022).
• Algoritmi di Raggruppamento:
  • Per percorsi e chiavi di registro: L'algoritmo identifica la sequenza più lunga di substring adiacenti presenti nel grafo come "gruppi di cattura" (parti fisse), trattando il resto come gruppi non catturanti (parti variabili).
  • Per argomenti CLI: Distingue tra comandi principali e parametri, utilizzando la struttura ad albero del grafo per identificare quali elementi sono nativi del sistema e quali sono controllati dall'attaccante.
• Filtraggio: Rimuove gli IOC falsi positivi che non contengono alcun gruppo di cattura identificabile.

B. Fase di Generazione della Regex (Regex Generation)

Questa fase affronta le sfide C2 (validità sintattica e allucinazioni) e C3 (bilanciamento tra precisione e generalizzazione).

• Generazione Basata sul Ragionamento: Utilizza un LLM (es. GPT-4o) per generare una regex iniziale basata sull'IOC e sui gruppi di cattura identificati.
• Pipeline di Validazione Iterativa:
  1. Debugging Sintattico: La regex viene testata contro l'IOC originale. Se fallisce, un debugger identifica l'errore e un prompt iterativo guida l'LLM a correggerlo.
  2. Validazione dei Gruppi Non Catturanti: Un ciclo di controllo assicura che la regex non contenga gruppi non catturanti non necessari o errati.
  3. Controllo di Sovra-Generalizzazione: Vengono generate 10 stringhe casuali. Se la regex le matcha tutte, è considerata troppo generica (es. dominata da .*) e il processo viene riavviato.
• Punteggio e Selezione: Vengono generate multiple varianti di regex per lo stesso IOC. Una funzione di scoring valuta ogni candidato in base al numero di componenti di cattura corretti (ricompensa) e alla presenza di componenti errati (penalità), selezionando la migliore.

3. Contributi Chiave

1. Sistema IOCRegex-gen: La prima soluzione end-to-end che automatizza la conversione da IOC grezzi a regex deployabili, colmando il divario tra estrazione della minaccia e rilevamento operativo.
2. Meccanismo Consapevole dei Gruppi (Group-Aware): Un approccio innovativo che combina recupero di contesto arricchito da conoscenza (Knowledge-Enhanced) e analisi di pattern basata su grafi per determinare automaticamente quali segmenti dell'IOC devono essere gruppi di cattura, risolvendo un problema che gli LLM standard non gestiscono bene.
3. Pipeline di Validazione Iterativa: Un flusso di lavoro che integra debug sintattico, validazione semantica e controllo di generalizzazione per mitigare le allucinazioni degli LLM e garantire regex pronte per la produzione.
4. Valutazione su Larga Scala: Una valutazione rigorosa su oltre 3.000 report CTI reali e 2.400 stringhe "ground truth" estratte dal framework di valutazione MITRE ATT&CK.

4. Risultati Sperimentali

Il sistema è stato testato su dataset provenienti da scenari di attacco reali (APT29, LockBit, Turla, ecc.):

• Hit Rate (Tasso di Rilevamento): Le regex generate hanno raggiunto un 99,1% di successo nel matchare le stringhe ground truth. In alcuni dataset (es. Enterprise2024 LockBit), il tasso è stato del 100%.
• Tasso di Falsi Positivi: Il tasso medio di falsi positivi è estremamente basso, pari allo 0,8%.
• Complessità: Le regex generate mostrano una complessità strutturale significativa (punteggio medio > 3), indicando che non sono semplici match letterali ma includono pattern complessi necessari per la sicurezza.
• Generalizzazione: La similarità media tra le regex generate e gli IOC originali è di circa 0,4, dimostrando che il sistema introduce la variabilità necessaria per adattarsi a diversi contesti senza perdere l'essenza della minaccia.
• Ablation Study: Gli esperimenti di ablazione hanno dimostrato che rimuovere qualsiasi componente (identificazione gruppi o generazione basata su ragionamento) fa crollare le prestazioni (calo del hit rate >16% e aumento dei falsi positivi >23%), confermando l'importanza di ogni modulo.

5. Significato e Impatto

Questo lavoro rappresenta un passo avanti cruciale per l'automazione dei Security Operations Center (SOC).

• Operazionalizzazione Immediata: Trasforma la teoria (report CTI) in pratica (regole di rilevamento) in modo automatico, riducendo i tempi di risposta alle minacce da giorni a minuti.
• Scalabilità: Permette di processare migliaia di report CTI senza richiedere un intervento umano massiccio per la scrittura delle regex.
• Affidabilità: Dimostra che gli LLM, se guidati da pipeline di validazione rigorose e conoscenza di dominio strutturata (grafo), possono essere utilizzati per compiti di sicurezza ad alta precisione, superando le limitazioni degli approcci puramente generativi.
• Open Source: Il codice è stato reso disponibile per favorire la riproducibilità e l'adozione nella comunità di ricerca e operativa.

In sintesi, IOCRegex-gen risolve il collo di bottiglia critico nell'uso della Cyber Threat Intelligence, rendendo possibile un rilevamento delle minacce su larga scala, preciso e automatizzato.