💻 computer science

An Automated Framework for Extracting Reachable Attack Chains from Cyber Threat Intelligence Reports

Questo articolo propone un framework automatizzato che sfrutta i grandi modelli linguistici per estrarre unità di attacco strutturate con precondizioni e postcondizioni da report di Cyber Threat Intelligence non strutturati, compilandoli in regole Datalog per consentire un'efficace analisi di raggiungibilità e il ragionamento su catene di attacco multi-stadio.

Autori originali: Wenbo Hou, Ning Hu, Xueping Wang, Jiahao Gu, Wenjian Luo

Pubblicato 2026-07-23

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Wenbo Hou, Ning Hu, Xueping Wang, Jiahao Gu, Wenjian Luo

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immaginate Internet come una città enorme e frenetica dove malintenzionati cercano costantemente di intrufolarsi negli edifici, rubare chiavi e scassinare porte. Per fermarli, gli esperti di sicurezza scrivono storie dettagliate chiamate rapporti di "Cyber Threat Intelligence". Queste storie descrivono esattamente come un hacker sia riuscito a entrare: "Per prima cosa, ha inviato una finta email. Poi, la vittima ha cliccato su un link. Successivamente, un virus si è scaricato da solo". È come il fascicolo di un detective. Ma ecco il problema: queste storie sono scritte in un linguaggio umano disordinato. Un computer che cerca di leggerle si confonde. Non riesce a capire facilmente perché il secondo passaggio è avvenuto (aveva bisogno che il primo finisse prima) o cosa è cambiato nel sistema dopo il secondo passaggio. È come cercare di costruire un robot funzionante usando solo un mucchio di cartoncini con ricette non smistate; conosci gli ingredienti, ma non conosci l'ordine o il rapporto causa-effetto.

Per risolvere questo problema, i ricercatori hanno bisogno di un modo per trasformare quelle storie disordinate in un progetto rigoroso e logico che un computer possa effettivamente eseguire. Devono sapere non solo cosa ha fatto l'hacker, ma quali condizioni dovevano essere vere affinché l'hacker potesse farlo (i "precondizioni") e in quale nuovo stato ha lasciato il sistema dopo (le "postcondizioni"). Pensatelo come a un gioco da tavolo: non puoi muovere il tuo pezzo su una nuova casella a meno che tu non abbia il lancio di dadi corretto (la condizione) e, una volta mosso, il tuo pezzo si trova ora in un posto nuovo (il risultato). Se potete tradurre la storia di un hacker in un perfetto insieme di regole di gioco, potete chiedere al computer: "Un hacker può arrivare dalla porta d'ingresso alla cassaforte?" e ottenere una risposta definitiva. Questa è la sfida che questo articolo affronta: trasformare vaghi racconti da spia in un gioco di difesa cibernetica preciso e giocabile.

Gli autori di questo articolo hanno costruito un ingegnoso framework automatizzato per risolvere questo enigma. Si sono resi conto che chiedere semplicemente a un programma per computer intelligente (un Large Language Model) di "leggere la storia e darmi le regole" non funziona bene. Se chiedete tutto interamente in un colpo solo, il computer spesso sbaglia i dettagli, confonde l'ordine o inventa passaggi che in realtà non esistono. È come chiedere a uno studente di scrivere un intero saggio in un solo respiro; potrebbe perdere la logica. Invece, i ricercatori hanno progettato una catena di montaggio a più stadi.

In primo luogo, il sistema agisce come un editor attento, estraendo dal testo le principali "mosse d'attacco", come "scarica file" o "aggira firewall". Poi, agisce come un detective, dando la caccia agli indizi specifici che spiegano perché quella mossa era possibile e cosa è successo dopo. Ma ecco la magia: non lascia questi indizi come frasi disordinate. Li forza in un codice rigoroso e standardizzato, come tradurre "il computer è aperto su internet" in un particolare token di gioco chiamato network.open. Questo è fondamentale perché permette al computer di controllare se i "token" corrispondono perfettamente. Se la prima mossa lascia un token "porta aperta", la mossa successiva può avvenire solo se richiede un token "porta aperta".

Il sistema ha anche una fase di "controllo qualità". Esegue una simulazione per vedere se la catena di mosse si collega effettivamente dall'inizio alla fine. Se trova un collegamento interrotto — come un passaggio che richiede un token "password" che non è mai stato creato — si ferma e prova a correggerlo, o almeno segnala l'errore. Infine, compila tutti questi passaggi puliti e verificati in un insieme di regole logiche (usando un linguaggio chiamato Datalog) che un computer può eseguire istantaneamente per vedere se un obiettivo specifico di attacco è raggiungibile.

Quando hanno testato questo metodo su 20 rapporti di attacchi informatici reali contenenti 334 passaggi specifici, i risultati sono stati impressionanti. Il loro metodo ha trovato e formattato correttamente il 94,9% dei passaggi d'attacco, superando altri strumenti esistenti che riuscivano a gestire solo l'80% o meno. Ancora più importante, quando hanno lasciato che il computer eseguisse la logica su queste regole estratte, è riuscito a capire come raggiungere l'obiettivo dell'hacker in 19 rapporti su 20. Ciò dimostra che il loro approccio a "catena di montaggio" è molto più efficace nel trasformare storie umane disordinate in regole di gioco pulite e giocabili rispetto al semplice chiedere a un'IA intelligente di indovinare tutto insieme. Non hanno solo trovato i passaggi; hanno costruito un ponte che permette ai computer di comprendere effettivamente la logica di un attacco, trasformando una storia statica in una mappa dinamica del pericolo.

Sintesi Tecnica: Un Framework Automatizzato per l'Estrazione di Catene di Attacco Raggiungibili da Rapporti di Cyber Threat Intelligence

Definizione del Problema

I rapporti di Cyber Threat Intelligence (CTI) contengono narrazioni ricche e dettagliate di processi di attacco reali, che spaziano dall'compromissione iniziale fino agli obiettivi finali. Tuttavia, questi rapporti sono scritti in linguaggio naturale non strutturato, mescolando azioni di attacco, prove contestuali e dettagli tecnici attraverso vari paragrafi. Mentre gli analisti umani possono ricostruire mentalmente le catene di attacco, i sistemi automatizzati faticano a trasformare queste narrazioni in una rappresentazione adatta al ragionamento formale.

Gli attuali metodi di estrazione CTI soffrono di due limitazioni primarie:

Gap di Rappresentazione: I metodi esistenti si concentrano sull'estrazione di Indicatori di Compromissione (IOC), etichette piatte di MITRE ATT&CK o grafi entità-relazione. Questi output mancano di precondizioni esplicite (lo stato richiesto per eseguire un passaggio) e postcondizioni (lo stato di sicurezza risultante). Di conseguenza, la conoscenza estratta è descrittiva piuttosto che eseguibile; non può supportare il matching di stato, la verifica delle dipendenze o l'analisi della raggiungibilità degli obiettivi di attacco.
Gap di Estrazione: Un approccio ingenuo che utilizzi il prompting di Large Language Models (LLM) per generare catene complete di precondizione-comportamento-postcondizione end-to-end è inaffidabile. Tale generazione spesso produce condizioni in linguaggio naturale aperto (ostacolando il ragionamento simbolico), manca di dipendenze implicite sparse nel testo, soffre di una granularità inconsistente e manca di meccanismi per verificare se i passaggi generati formino una derivazione connessa ed eseguibile.

Metodologia

Il documento propone un framework multi-stadio assistito da LLM, progettato per colmare il divario tra le narrazioni CTI non strutturate e il ragionamento formale basato sulla logica. Il framework opera in due fasi: Costruzione del Repository CTI-to-Attack-Unit e Ragionamento sui Percorsi di Attacco Basato sul Repository.

1. Rappresentazione dell'Unità di Attacco (Attack Unit)

L'innovazione principale consiste nel modellare ogni passaggio di attacco come un'Unità di Attacco:
$u_j = \langle Pre_j, Act_j, Post_j \rangle$

Precondizioni ( $Pre_j$ ): Stati ambientali, azioni dell'utente o stati di attacco precedenti necessari prima dell'esecuzione.
Comportamento di Attacco ( $Act_j$ ): L'azione centrale (es. download, esecuzione).
Postcondizioni ( $Post_j$ ): I nuovi stati di sicurezza prodotti dopo l'esecuzione.

Queste unità vengono compilate in regole di tipo Datalog, dove le precondizioni formano il corpo della regola e le postcondizioni formano la testa della regola, consentendo ai motori di inferenza logica (come MulVAL) di determinare la raggiungibilità.

2. La Pipeline di Estrazione

Per affrontare il gap di estrazione, il framework sostituisce la generazione a passaggio singolo con una pipeline controllata e multi-stadio:

Estrazione dello Scheletro del Comportamento: Il framework identifica una sequenza ordinata di comportamenti di attacco. Per garantire una granularità coerente, utilizza un Vocabolario di Comportamento (derivato da MITRE ATT&CK e semantica comune della CTI) per classificare le azioni (es. user_action, download, execute), prevenendo l'eccessiva compressione o frammentazione.
Estrazione di Pre/Postcondizioni: Viene impiegata una strategia a doppio canale. Un canale locale si concentra sulle evidenze testuali immediate e sui passaggi vicini, mentre un canale globale analizza l'intero rapporto per catturare le dipendenze a lungo raggio. Gli output di entrambi i canali vengono fusi per generare le postazioni candidate.
Normalizzazione dei Predicati: Le condizioni in linguaggio naturale vengono mappate su un Vocabolario di Predicati predefinito (seguendo la semantica di tipo MulVAL). Ciò converte il testo libero in stati simbolici (es. host.vuln_present(host, CVE)), garantendo che le postcondizioni di un'unità possano corrispondere esattamente alle precondizioni di un'altra.
Riparazione Guidata dalla Diagnosi: Un LLM ispeziona la catena normalizzata per identificare incongruenze, come precondizioni non supportate (stati non prodotti da passaggi precedenti o fatti iniziali), predicati discordanti o rami erroneamente uniti. Il sistema ripara rigorosamente solo i problemi segnalati per mantenere la fedeltà al rapporto sorgente.
Generazione di Regole e Ragionamento: Le unità normalizzate vengono convertite in regole Datalog. Un algoritmo di forward-chaining determina se un obiettivo di attacco è raggiungibile da un insieme di fatti iniziali ( $F_0$ ), mentre una ricerca backward recupera i specifici percorsi di attacco.

Contributi Chiave

Rappresentazione Pronta al Ragionamento: Il documento introduce una rappresentazione che modella i passaggi di attacco come transizioni di stato eseguibili ( $Pre \to Act \to Post$ ) piuttosto che record descrittivi. Ciò consente il matching di stato e la verifica delle dipendenze, compiti precedentemente impossibili con le estrazioni CTI standard.
Framework di Estrazione Affidabile: Decomponendo il compito di estrazione in stadi controllabili (estrazione dello scheletro, recupero delle condizioni, normalizzazione e riparazione), il framework supera l'inaffidabilità della generazione end-to-end tramite LLM. Stabilizza la granularità dei passaggi e impone la coerenza delle dipendenze.
Ponte dal Testo alla Logica Formale: Il framework genera automaticamente le regole Datalog che tradizionalmente richiedono la scrittura manuale da parte di esperti, permettendo agli analizzatori di grafi di attacco logici di utilizzare direttamente i rapporti CTI narrativi.
Validazione Empirica: L'approccio è valutato su 20 rapporti CTI contenenti 334 passaggi annotati da esseri umani, dimostrando prestazioni superiori nella copertura dei passaggi e nella prontezza al ragionamento rispetto ai sistemi esistenti.

Risultati Sperimentali

Il framework è stato valutato rispetto a tre sistemi di estrazione CTI rappresentativi (AttacKG+, CRUcialG e CTINEXUS) e varianti di ablazione interne.

Copertura dei Passaggi di Attacco: Il framework proposto ha raggiunto una copertura media macro dei passaggi (Step Coverage) del 94,9% sui 334 passaggi annotati, superando significativamente CTINEXUS (82,2%), AttacKG+ (81,1%) e CRUcialG (42,6%). Ha coperto interamente 300 passaggi, parzialmente 32 e ne ha mancati solo 2.
Accuratezza dei Predicati: Il framework ha ottenuto un F1 score medio dei Predicati dell'80,9% (Precisione: 85,3%, Recall: 77,8%) attraverso i 20 rapporti. Ciò indica un'alta accuratezza nel recupero sia delle condizioni richieste per l'esecuzione che degli stati di sicurezza risultanti.
Successo del Ragionamento: Sulle catene estratte, l'inferenza Datalog ha raggiunto con successo l'obiettivo di attacco specificato in 19 rapporti su 20. La ricerca backward ha recuperato un totale di 34 percorsi di attacco.
Studio di Ablazione: Rimuovere la pipeline multi-stadio a favore della generazione end-to-end (utilizzando GPT-4.1 o GPT-5.2) ha causato un drastico calo delle prestazioni (l'F1 medio è sceso dal 94,5% a circa il 50%), confermando che l'approccio a stadi con vincoli di vocabolario e meccanismi di riparazione è critico per la precisione.

Significato e Rivendicazioni

Il documento sostiene che la sua importanza primaria risieda nel trasformare le narrazioni CTI non strutturate in conoscenza strutturata ed eseguibile. Modellando esplicitamente precondizioni e postcondizioni, il framework consente ai sistemi automatizzati di eseguire l'analisi di raggiungibilità e il ragionamento sui percorsi di attacco — compiti che erano precedentemente limitati all'analisi manuale o richiedevano regole create a mano.

Gli autori sottolineano che, sebbene il framework colmi con successo il divario tra i rapporti narrativi e il ragionamento formale, non è una soluzione perfetta. Le limitazioni includono:

Dipendenza da vocabolari progettati da esperti.
Difficoltà nel distinguere tra assunzioni ambientali statiche (es. connettività di rete esistente) e stati di attacco prodotti dinamicamente.
Occasionali difficoltà nel gestire rapporti che aggregano molteplici contesti di campagna distinti in un unico racconto.

In definitiva, il lavoro fornisce un metodo pratico per convertire la CTI in linguaggio naturale in un formato che supporti il ragionamento di sicurezza automatizzato, andando oltre la semplice estrazione di entità verso un'analisi azionabile dei percorsi di attacco.