Sintesi Tecnica: CATBridge – Migliorare l'allineamento CVE-ATT&CK in ambienti a basse risorse

1. Definizione del problema

L'allineamento delle Vulnerabilità e Esposizioni Comuni (CVE) con il framework MITRE ATT&CK è fondamentale per la difesa attiva, ma affronta sfide significative in ambienti a basse risorse caratterizzati da limitata potenza computazionale e scarsità di campioni etichettati di alta qualità.

Gli approcci esistenti si dividono in tre categorie, ognuna con distinti limiti:

• Machine Learning (ML) e Deep Learning (DL): Pur offrendo un'elevata accuratezza di rilevamento, questi metodi faticano a catturare associazioni semantiche profonde tra descrizioni di vulnerabilità specifiche (es. "buffer overflow") e tattiche di attacco macroscopiche (es. "privilege escalation"). Spesso si affidano a caratteristiche testuali superficiali o richiedono enormi dataset etichettati e risorse computazionali.
• Large Language Models (LLM) basati su Prompt: Modelli come GPT-5 o DeepSeek-R1 possiedono una forte comprensione semantica ma soffrono di alti costi computazionali, bassa efficienza di inferenza e preoccupazioni per la privacy dei dati, rendendoli impraticabili per il deployment in contesti con risorse limitate.
• LLM di piccola scala sottoposti a Fine-tuning: Sebbene computazionalmente efficienti e distribuibili, i modelli piccoli (es. 7B parametri) mancano di sufficiente conoscenza nel dominio della cybersecurity. Faticano a comprendere pattern di attacco complessi, portando a prestazioni scarse sui dati "long-tail" e difficoltà nel distinguere tra tecniche simili.

Il documento identifica tre sfide specifiche nell'utilizzo degli LLM per questo compito in contesti a basse risorse:

1. Distribuzione Long-tail: I dati CVE sono sbilanciati, con tecniche ATT&CK rare che mancano di campioni di addestramento sufficienti. La conoscenza estratta dai modelli grandi tende a favorire i campioni delle classi "head" (più frequenti).
2. Gap Semantico: Esiste una disconnessione tra i dettagli tecnici dei CVE e gli obiettivi tattici di ATT&CK. I modelli piccoli non riescono a comprendere il ragionamento implicito necessario per collegare l' "exploitation della vulnerabilità" all' "intento dell'attaccante".
3. Similarità Tecnica: Molte tecniche ATT&CK condividono una semantica funzionale superficiale (es. esecuzione di codice), ma differiscono fondamentalmente nell'intento tattico. I modelli grandi possono enfatizzare eccessivamente le funzioni condivise, fallendo nel fornire la logica discriminativa necessaria affinché i modelli piccoli apprendano chiari confini decisionali.

2. Metodologia: Il Framework CATBridge

Gli autori propongono CATBridge, un framework di potenziamento della conoscenza in più fasi che stabilisce un meccanismo di collaborazione "teacher-student" (insegnante-studente). Un LLM su larga scala (Teacher) agisce come esperto di dominio per guidare un LLM leggero su piccola scala (Student) attraverso tre fasi progressive.

Fase 1: Potenziamento mirato dei dati

Per affrontare il problema della distribuzione long-tail (C1), il framework impiega un raffinato prompt engineering per guidare il modello Teacher nella sintesi di campioni CVE di alta qualità per le categorie di tecniche ATT&CK scarse.

• Meccanismo: Al Teacher viene assegnato il ruolo di "Esperto di Modellazione delle Vulnerabilità Cybersecurity". Riceve un ID di tecnica target e campioni CVE seme, quindi genera descrizioni CVE logicamente coerenti e semanticamente standardizzate specificamente per le tecniche sottorappresentate.
• Obiettivo: Alleviare la scarsità di campioni senza distorcere le semantiche comportamentali chiave, espandendo efficacemente i dati di addestramento per le classi long-tail.

Fase 2: Potenziamento della conoscenza di dominio

Per colmare il gap semantico (C2), il framework costruisce un Vulnerability Knowledge Graph per creare una catena logica dal CVE ad ATT&CK.

• Costruzione del Knowledge Graph: Il Teacher estrae conoscenza strutturata del dominio (CWE per le debolezze, CAPEC per i pattern di attacco) dai campioni CVE potenziati. Entità (Vulnerabilità, Debolezza, Pattern di Attacco, Tattica/Tecnica) e relazioni (hasWeakness, exploitedBy, mapsToTechnique) sono organizzate in un grafo.
• Estrazione della Catena di Conoscenza: Un algoritmo attraversa il grafo per estrarre catene complete: CVE → CWE → CAPEC → ATT&CK.
• Addestramento dello Studente: Queste catene vengono serializzate in contesti testuali espliciti e incorporate nei dati di addestramento del modello Student tramite Supervised Fine-Tuning (SFT). Ciò consente allo Student di apprendere direttamente le relazioni logiche tra diverse fonti, anziché fare affidamento su percorsi di ragionamento opachi.

Fase 3: Potenziamento della conoscenza del ragionamento

Per affrontare la similarità tecnica e migliorare la discriminazione (C3), il framework utilizza tecniche di Chain-of-Thought (CoT).

• Generazione di Astrazioni Discriminative: Per coppie di tecniche ATT&CK simili che lo Student fatica a distinguere, il Teacher genera riassunti strutturati analizzando tre dimensioni basate sul Cyber Kill Chain:
  1. Precondizione: Stato del sistema o permessi di accesso richiesti.
  2. Azioni Core: Operazioni atomiche fondamentali eseguite.
  3. Risultati Ottenuti: Risultati e impatto a livello tattico.
• Addestramento dello Studente: Lo Student affronta un secondo stadio di SFT in cui gli istanze di addestramento accoppiano i campioni CVE con queste astrazioni discriminative generate dal Teacher. Questo trasferisce la logica di ragionamento esplicita, consentendo allo Student di apprendere chiari confini decisionali tra tecniche confondibili.

3. Contributi Chiave

• Acquisizione della Conoscenza guidata da LLM: Il documento introduce una pipeline "teacher-student" che estrae conoscenza professionale da LLM su larga scala per perfezionare LLM su piccola scala. Questo affronta il compromesso tra l'alto overhead dei modelli grandi e la scarsità di conoscenza dei modelli piccoli in ambienti a basse risorse.
• Potenziamento della Conoscenza in più fasi: Il framework propone un processo innovativo in tre fasi (Dati Mirati, Conoscenza di Dominio e Conoscenza del Ragionamento) che integra il fine-tuning standard, migliorando significativamente l'accuratezza dell'allineamento.
• Performance in Ambienti a Basse Risorse: Lo studio dimostra che un modello leggero da 7B, potenziato da questo framework, può superare sia i metodi SOTA tradizionali che i modelli generici general-purpose zero-shot (es. GPT-5, DeepSeek-R1 671B) in contesti con risorse limitate.

4. Risultati Sperimentali

Il framework è stato valutato sul set di test ChatGPT-VDMEval (7.013 campioni) utilizzando un modello studente Qwen2.5-7B-instruct.

• Performance Complessiva: CATBridge ha raggiunto un'accuratezza dell'83,50%, una precisione del 90,98%, un richiamo (recall) del 93,01% e un F1-score dell'85,55%.
• Guadagni Comparativi:
  • vs SOTA: Un miglioramento assoluto di 33,29 punti percentuali rispetto al miglior baseline (GuardLink, 50,21%).
  • vs Grandi Modelli Zero-shot: Un miglioramento medio del 46,24 punti percentuali rispetto ai grandi modelli generici zero-shot (GPT-5, DeepSeek-R1, Qwen3).
  • vs Baseline Fine-tuning: Un miglioramento di 41,15 punti percentuali rispetto allo stesso modello studente addestrato con SFT standard senza la pipeline di potenziamento (42,35% vs 83,50%).
• Studio di Ablazione: I risultati hanno confermato che ogni fase ha fornito guadagni distinti. Il Potenziamento della Conoscenza di Dominio ha fornito il salto singolo più grande (+16,28 pp di accuratezza), mentre il Potenziamento della Conoscenza del Ragionamento ha ulteriormente raffinato le prestazioni (+11,04 pp).
• Scenari Few-Shot e Zero-Shot:
  • In scenari few-shot (14 tecniche long-tail), il framework ha migliorato l'accuratezza dal 25,33% al 90,94%.
  • In scenari zero-shot (8 tecniche non viste), l'accuratezza è passata dallo 0,96% al 75,73%, dimostrando forti capacità di generalizzazione.
• Compatibilità del Modello: Il framework ha mostrato prestazioni robuste su diversi modelli studenti (Mistral-7B, Llama3-8B, Gemma2-9B, Qwen2.5-7B), indicando che non dipende da una specifica architettura di modello.

5. Significato e Rivendicazioni

Il documento afferma che CATBridge è tra i primi lavori a introdurre una pipeline di potenziamento della conoscenza teacher-student in più fasi specificamente per l'allineamento CVE-ATT&CK, andando oltre i precedenti approcci a singolo stadio o a template concatenati.

La sua importanza primaria risiede in:

1. Efficienza delle Risorse: Riduce significativamente la dipendenza da grandi quantità di dati etichettati e massicce risorse computazionali, consentendo una correlazione affidabile della conoscenza delle minacce in ambienti con risorse limitate.
2. Deployment Pratico: Permette il deployment di modelli leggeri (7B) che raggiungono livelli di prestazione comparabili o superiori a modelli molto più grandi e zero-shot, rendendo la governance automatizzata delle vulnerabilità fattibile per organizzazioni con infrastrutture limitate.
3. Avanzamento Metodologico: Trasferendo esplicitamente la logica di ragionamento e le catene di conoscenza di dominio invece di semplici etichette finali, il framework affronta la natura "black box" del ragionamento degli LLM, fornendo un percorso strutturato affinché i modelli piccoli apprendano mappature semantiche complesse.

Gli autori riconoscono alcune limitazioni, notando che i dati di pre-addestramento del modello teacher potrebbero contenere alcuni record CVE (potenziale contaminazione dei dati), sebbene sostengano che i guadagni derivino dal trasferimento strutturato della conoscenza piuttosto che dalla memorizzazione. Notano inoltre le attuali limitazioni nell'interpretabilità dell'output e propongono ricerche future sulla visualizzazione dell'attenzione per assistere gli analisti di sicurezza.