Context-aware Entity-Relation Extraction for Threat Intelligence Knowledge Graphs

Riepilogo Tecnico: Estrazione di Entità e Relazioni Consapevole del Contesto per Grafi della Conoscenza sull'Intelligence delle Minacce (CTiKG)

Enunciato del Problema
La costruzione di Grafi della Conoscenza sulla Cybersecurity (CKG) è essenziale per unificare diverse fonti di Intelligence sulle Minacce Informatiche (CTI) in formati strutturati e interrogabili che supportino la difesa proattiva e l'analisi in tempo reale. Tuttavia, l'automazione di questo processo è ostacolata dalla natura non strutturata dei rapporti CTI, che presentano narrazioni complesse, gergo specifico del dominio e ambiguità semantica. Gli approcci esistenti ricadono tipicamente in due categorie: Estrazione Congiunta (JE) ed Estrazione a Pipeline (PE). Sebbene i modelli JE integrino il Riconoscimento delle Entità Nominate (NER) e l'Estrazione delle Relazioni (RE) per ridurre la propagazione degli errori, spesso soffrono di confusione delle caratteristiche, difficoltà con relazioni sovrapposte e inflessibilità nell'ottimizzazione modulare. Al contrario, gli approcci PE consentono un design modulare ma sono vulnerabili alla propagazione degli errori, dove imprecisioni nel riconoscimento delle entità si ripercuotono sulla classificazione delle relazioni, degradando la qualità complessiva del grafo della conoscenza. Inoltre, le iterazioni precedenti dei framework a pipeline (come il lavoro precedente degli autori, TiKG) si basavano su modelli linguistici generici o classificatori (ad esempio TDD-softmax) che producevano sequenze di tagging incoerenti e faticavano con la terminologia specifica della cybersecurity.

Metodologia
Il documento introduce il framework Context-aware Threat Intelligence Knowledge Graph (CTiKG), un'architettura a pipeline progettata per affrontare le limitazioni dei modelli precedenti attraverso tre fasi distinte:

1. Raccolta e Elaborazione dei Dati: I rapporti vengono raccolti da repository (ad esempio MITRE ATT&CK, repository APT) e convertiti in testo semplice. La pre-elaborazione include la sanificazione (ad esempio, offuscamento di URL/email) per simulare input grezzi.
2. Estrazione di Entità e Relazioni: Questa fase centrale impiega due moduli specializzati:
   • Riconoscimento delle Entità (NER): Gli autori propongono un'architettura SecureBERT+-BiGRU-CRF. Questo modello sostituisce il precedente classificatore TDD-softmax con un livello Conditional Random Field (CRF) per imporre transizioni valide dei tag BIO e migliorare la coerenza a livello di sequenza. Utilizza SecureBERT+, una variante di BERT adattata al dominio, per generare embedding contestuali, che vengono poi elaborati da un'Unità Ricorrente a Gate Bidirezionale (BiGRU) per catturare le dipendenze tra token prima che il livello CRF esegua la classificazione a livello di token.
   • Estrazione delle Relazioni (RE): Riconoscendo che i tipi di relazione sono indipendenti e privi di dipendenze sequenziali, gli autori utilizzano un'architettura SecureBERT+-BiGRU-TDD (Time-Distributed Dense). Questo modello sostituisce il livello CRF con un livello TDD per semplificare l'architettura e abilitare inferenze più rapide. Crucialmente, questa fase integra un'ontologia specifica del dominio (ispirata a UCO 2.0) per guidare la classificazione delle coppie di entità. L'ontologia definisce 15 tipi di relazione specifici (ad esempio affiliatedWith, targets, hasVulnerability) ed è utilizzata per filtrare le coppie di entità non valide, mitigando così la classificazione errata.
3. Costruzione e Analisi: Le triple estratte vengono archiviate in Neo4j, dove le entità fungono da nodi e le relazioni da archi, consentendo il recupero e l'analisi basati su query del grafo costruito.

Contributi Chiave

• Nuova Architettura NER: L'introduzione di un modello SecureBERT+-BiGRU-CRF che ottiene un miglioramento fino al 4% del punteggio F1 su 21 categorie di entità, risolvendo le problematiche di tagging incoerente dei precedenti classificatori basati su softmax.
• Architettura RE Potenziata: Un nuovo modello SecureBERT+-BiGRU-TDD che integra embedding contestuali specifici del dominio con controllo degli errori basato su ontologia, ottenendo un miglioramento fino all'8% del punteggio F1 per l'estrazione delle relazioni.
• Aumento e Rilascio del Dataset: La creazione e il rilascio di DNRTI-AUG-STIX2, un dataset aumentato derivato da DNRTI-STIX2. Ciò ha comportato l'annotazione manuale di 1.367 frasi aggiuntive da parte di esperti di sicurezza per affrontare lo squilibrio di classe severo e la consolidazione di tipi di entità rari (ad esempio, unendo SHA1, SHA2, MD5 in un unico tipo HASH). Il dataset include 21 tipi di entità allineati a STIX 2.1.
• Benchmarking Completo: Valutazione estesa sul dataset DNRTI-AUG-STIX2, con validazione aggiuntiva sui benchmark DNRTI e STUCCO, dimostrando la robustezza e la generalizzabilità del framework.

Risultati Sperimentali
Il framework CTiKG proposto è stato valutato rispetto a baseline all'avanguardia (inclusi BiLSTM-CRF, RoBERTa e varianti precedenti di TiKG) utilizzando le metriche Precisione, Recall e Punteggio F1:

• Prestazioni NER: Il modello SecureBERT+-BiGRU-CRF ha ottenuto un punteggio F1 di 0,93 su DNRTI-AUG-STIX2, 0,94 su DNRTI e 0,98 su STUCCO. Ciò rappresenta un guadagno del 3–4% rispetto alle precedenti baseline. I risultati indicano che, sebbene SecureBERT+ abbia mostrato miglioramenti significativi nel modellamento linguistico mascherato, i principali guadagni NER sono stati guidati dalla capacità del livello CRF di modellare le dipendenze sequenziali.
• Prestazioni RE: Il modello SecureBERT+-BiGRU-TDD ha ottenuto un punteggio F1 di 0,98 su DNRTI-AUG-STIX2, superando il modulo RE precedente di TiKG del 6–8% su tutte le metriche. Lo studio ha notato che i livelli CRF non hanno offerto benefici misurabili rispetto a TDD per l'estrazione delle relazioni, giustificando l'architettura semplificata.
• Generalizzazione: Il modello ha dimostrato prestazioni elevate e coerenti su dataset diversificati, incluso il dataset focalizzato sulle vulnerabilità STUCCO, attribuito a pattern linguistici coerenti nelle descrizioni delle vulnerabilità e all'adattamento al dominio del modello.

Significato e Affermazioni
Il documento afferma che CTiKG stabilisce un framework robusto e consapevole della sicurezza per l'analisi delle minacce, il profilaggio e lo sviluppo di strategie di difesa. Disaccoppiando NER e RE mentre sfrutta embedding specifici del dominio e vincoli ontologici, il framework mitiga efficacemente la propagazione degli errori intrinseca negli approcci a pipeline tradizionali. Gli autori sottolineano che l'integrazione di SecureBERT+ e dell'ontologia del dominio migliora significativamente la precisione e la generalizzabilità dei CKG, consentendo una trasformazione più accurata dei rapporti CTI non strutturati in intelligence strutturata. Il rilascio dei dataset curati e del codice su GitHub è evidenziato come un contributo chiave per favorire la riproducibilità e ulteriori ricerche nel settore. Il lavoro è presentato come un'estensione del framework TiKG, affrontando specificamente le sue limitazioni nella gestione di dataset complessi e gergo specifico della cybersecurity.