CVE-TTP KG: Knowledge Graph Linking Software Vulnerabilities to Attack Behaviors

Sintesi Tecnica: CVE-TTP KG

Problematica
Nel panorama della cybersecurity contemporanea, le vulnerabilità del software si sono evolute in asset strategici utilizzati dagli attori delle minacce. Sebbene i repository come il Common Vulnerabilities and Exposures (CVE) e il National Vulnerability Database (NVD) forniscano identificatori strutturati e metadati tecnici, essi spesso mancano di contesto operativo. Nello specifico, questi database non collegano intrinsecamente le vulnerabilità ai comportamenti degli attaccanti, come tattiche e tecniche, che sono essenziali per comprendere come i difetti vengano sfruttati negli scenari reali. Questo disallineamento limita la capacità dei team di sicurezza di dare priorità alle minacce basandosi sull'intento e sulle capacità dell'avversario. Con oltre 40.000 nuovi CVE segnalati solo nel 2024, l'analisi manuale è insufficiente, rendendo necessari soluzioni automatizzate in grado di correlare i dati sulle vulnerabilità con i modelli comportamentali definiti in framework come MITRE ATT&CK.

Metodologia
Gli autori propongono il CVE-TTP Knowledge Graph (CVE-TTP KG), un framework progettato per collegare le vulnerabilità del software ai comportamenti degli attaccanti (Tattiche, Tecniche e Procedure). L'architettura del sistema comprende quattro moduli primari:

1. Raccolta e Arricchimento dei Dati:

   • Un dataset di 276.289 record CVE (1999–2025) è stato aggregato da NVD e dal MITRE CVE List V5.
   • Una pipeline di mappatura multi-stadio (CVE → CWE → CAPEC → Tecnica → Tattica) è stata utilizzata per generare etichette di ground-truth per 178.233 record arricchiti. Questo processo ha collegato le vulnerabilità a 95 tecniche ATT&CK e 14 categorie di tattiche.
   • Per affrontare i limiti delle mappature pubbliche scarse, è stato sviluppato un modello di classificazione automatizzato per predire direttamente tattiche e tecniche dalle descrizioni testuali dei CVE.

2. Classificazione CVE-to-TTP:

   • Modelli basati su Transformer sono stati sottoposti a fine-tuning per la classificazione multi-label.
   • Sono stati valutati due modelli pre-addestrati specifici per la cybersecurity: SecBERT e CySecBERT.
   • Le istanze di input combinavano l'identificatore CVE, la descrizione testuale e l'identificatore CWE associato.

3. Estrazione di Entità e Relazioni (ERE):

   • È stato creato un dataset annotato manualmente di 1.080 descrizioni CVE, contenente 24.820 entità e 43.608 relazioni, allineato allo schema STIX 2.0.
   • Sono state implementate e confrontate due strategie di estrazione:
     • Approccio Pipeline: Un processo a due stadi che utilizza un'architettura BERT–BiLSTM–CRF per il riconoscimento di entità di cybersecurity (CER) seguito da un classificatore basato su BERT per l'estrazione delle relazioni (RE).
     • Approccio Joint: Un framework transformer basato su span (utilizzando CySecBERT) che estrae simultaneamente entità e relazioni, trattando gli span come candidati per evitare la propagazione dell'errore inerente ai metodi pipeline.

4. Costruzione del Knowledge Graph:

   • Le triple estratte ($<entità, relazione, entità>$) sono state popolate in un database a grafo Neo4j.
   • Il grafo modella vulnerabilità, prodotti, vendor, debolezze e TTP come nodi, connessi da archi semantici (es. affects, has_weakness, achieved_through, associated_with).

Contributi Chiave

• Dataset Innovativi: Gli autori hanno introdotto dataset di classificazione multi-label per le tattiche e le tecniche ATT&CK, insieme a un dataset annotato manualmente per l'estrazione di entità e relazioni delle vulnerabilità.
• Framework di Classificazione Automatizzato: Implementazione di un modello basato su transformer per mappare automaticamente le descrizioni CVE alle rilevanti tattiche e tecniche ATT&CK senza fare affidamento esclusivamente sulla mappatura manuale.
• Analisi Comparativa dell'Estrazione: Sviluppo e valutazione di approcci di apprendimento sia pipeline che joint per estrarre entità di cybersecurity e le loro relazioni semantiche dal testo delle vulnerabilità.
• Knowledge Graph Strutturato: Costruzione di un KG completo che integra i dati CVE con il comportamento avversariale, consentendo la visualizzazione strutturata e il ragionamento automatico per la rilevazione delle minacce e la prioritizzazione del rischio.

Risultati Sperimentali

• Performance di Classificazione:
  • CySecBERT ha costantemente superato SecBERT.
  • Classificazione delle Tecniche: CySecBERT ha raggiunto un punteggio F1 macro dell'87,71% e un punteggio Jaccard di 0,9659.
  • Classificazione delle Tattiche: CySecBERT ha raggiunto un punteggio F1 macro del 96,16% e un punteggio Jaccard di 0,9858.
• Performance di Estrazione di Entità e Relazioni:
  • Approccio Pipeline: Ha ottenuto un F1-score macro per l'estrazione delle entità di 0,86 e un F1-score per l'estrazione delle relazioni di 0,99.
  • Approccio Joint: Ha ottenuto un F1-score macro per l'estrazione delle entità di 0,88 (micro-F1 0,9586) e un F1-score macro per l'estrazione delle relazioni di 0,78 (sotto vincoli NEC rigorosi).
• Generazione del Grafo:
  • Il Modello Joint ha prodotto un grafo semanticamente più preciso, identificando correttamente relazioni complesse (es. distinguere "Denial of Service" come tipo di impatto piuttosto che come debolezza) e riducendo la propagazione dell'errore.
  • Il Modello Pipeline ha dimostrato un'alta precisione nell'estrazione delle relazioni ma ha sofferto di inconsistenze semantiche, come la sostituzione di relazioni specifiche achieved_through con collegamenti generici associated_with e la classificazione errata dei tipi di vulnerabilità.

Significato e Rivendicazioni
L'articolo sostiene che il CVE-TTP KG colmi una lacuna critica nell'analisi delle vulnerabilità modellando esplicitamente le connessioni tra i CVE e i comportamenti degli avversari. Gli autori affermano che questo approccio consente:

• Comprensione Più Profonda: Una visione più chiara dei pattern di sfruttamento, degli obiettivi degli attaccanti e delle catene di attacco.
• Maggiore Consapevolezza Situazionale: Visualizzazione strutturata per gli analisti umani e ragionamento automatico per la rilevazione delle minacce.
• Scalabilità: Una pipeline automatizzata capace di elaborare il crescente volume di divulgazioni sulle vulnerabilità.

Gli autori concludono che, sebbene il modello joint offra una maggiore robustezza nell'estrazione end-to-end, è necessario un lavoro futuro per integrare i Large Language Models (LLM) al fine di migliorare ulteriormente la qualità dell'estrazione, affrontando specificamente le sfide nella disambiguazione delle entità e nella risoluzione della coreferenza.