CVE-TTP KG: Knowledge Graph Linking Software Vulnerabilities to Attack Behaviors
本論文は、トランスフォーマーベースのモデルとNeo4j可視化フレームワークを用いて、CVEをMITRE ATT&CKのタクティクスおよびテクニックに紐付けることにより、ソフトウェアの脆弱性と攻撃者の振る舞いの間の溝を埋めるナレッジグラフであるCVE-TTPを導入するものである。
原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
サイバーセキュリティの世界を、巨大で混沌とした図書館だと想像してみてください。ある棚には、CVE（Common Vulnerabilities and Exposures：共通脆弱性識別子）のセクションがあります。これは、既知のあらゆる「壊れた鍵」や「割れた窓」の巨大なカタログです。それは「何が」壊れているのか、そして「どこが」壊れているのかを教えてくれますが、「誰が」侵入しようとしているのか、あるいは「どのように」侵入する計画なのかまでは教えてくれません。
別の棚には、MITRE ATT&CKのセクションがあります。これは犯罪行為のプレイブック（手引書）です。そこには「タクティクス（戦術）」（例：「鍵を盗む」といった犯罪者の目的）と、「テクニック（手法）」（例：「鍵を開ける」や「ガラスを割る」といった具体的な方法）が詳しく記されています。
問題点：
長い間、これら2つの棚は互いに会話をしていませんでした。セキュリティチームは「壊れた鍵」のリストは持っていました。しかし、どの鍵が実際に標的にされているのか、あるいは犯罪者がどのようにそれを悪用しようとしているのかを知る術はありませんでした。それは、窓が割れていることは分かっているものの、泥棒がそこから登ってくるのか、ガラスを叩き割るのか、あるいは単に石を投げ込むために使うのかが分からないようなものです。
解決策：CVE-TTP ナレッジグラフ
この論文の著者たちは、CVE-TTP ナレッジグラフと呼ばれる「スーパー司書」システムを構築しました。これは、壊れた鍵（CVE）と犯罪のプレイブック（タクティクスとテクニック）の間に直接的な線を引く、巨大でインテリジェントな地図のようなものです。
彼らがどのようにこれを構築したのか、簡単な比喩を用いて説明します。
1. 探偵の訓練（データ収集）
まず、チームは276,000件もの脆弱性レポートという膨大なライブラリを集めました。システムに「点と点を結びつける方法」を教えるために、彼らは「壊れた鍵」から「犯罪の手口」への経路を手動で追跡しました。
- 連鎖： 彼らは、脆弱性（壊れた鍵） 弱点（欠陥の種類） 攻撃パターン（犯罪者の計画） テクニック（具体的な動き） タクティクス（最終的な目的）という経路をリンクさせました。
- 結果： 彼らは、人間がすでに完璧に線を引いた1,080個の例からなる「ゴールドスタンダード（黄金律）」のデータセットを作成しました。これが、AIにとっての「教師」となりました。
2. 2種類の探偵スタイル（AIモデル）
チームは、脆弱性レポートを読み、自動的に線を引くための、2種類の異なるAI「探偵」を構築しました。
探偵A（パイプライン・アプローチ）： この探偵は2つのステップで動作します。まず、テキストを読み、「Microsoft」「Windows」「サービス拒否（Denial of Service）」といった重要な単語をハイライトします。次に、2人目の探偵がそれらのハイライトされた単語を見て、それらがどのように関連しているかを判断します。
- 比喩： これは、一人が容疑者をハイライトし、もう一人が容疑者同士の線を引くチームのようなものです。
- 性能： 単語を見つける能力（精度99%）と、それらを結びつける能力（精度99%）は非常に高いですが、全体像を一度に見ることができないため、2人目の探偵がニュアンスを見落としてしまうことがあります。
探偵B（ジョイント・アプローチ）： この探偵は、テキストを読み、同時に線を引きます。文章全体を見て、「この単語は容疑者であり、あの単語は場所であり、これらは特定の犯罪によって結びついている」と判断します。
- 比喩： これは、現場の全体像を瞬時に把握し、一度に地図を描き出す単独の探偵のようなものです。
- 性能： すべての単語を見つけ出す精度（精度78%）については、2ステップのチームよりもわずかに劣りましたが、コンテキスト（文脈）を理解し、一方のステップが次のステップを台無しにしてしまうミスを避ける能力においては優れていました。
3. システムの「脳」（モデル）
これらの探偵を賢くするために、チームはCySecBERTと呼ばれる特殊なタイプのAIの脳を使用しました。
- 通常の脳はニュースを読み、「猫」や「犬」を理解します。
- CySecBERTは、数百万件のサイバーセキュリティに関するブログ、レポート、ツイートを読んできた脳です。すでに「SQLインジェクション」が単なるデータベースのエラーではなく、特定の種類の攻撃であることを理解しています。
- チームはこの脳に、脆弱性レポートを読み、「ああ、この特定の壊れた鍵は、おそらく『ネットワークスニッフィング（通信傍受）』というテクニックを用いて、『資格情報を盗む』というタクティクス（目的）を持つ犯罪者に利用される可能性が高い」と判断することを教えました。
4. 結果：より明確な地図
システムをテストした際の結果は以下の通りです。
- 脳のスキル： CySecBERTモデルは、犯罪者の計画を推測することにおいて非常に優れていました。「タクティクス（目的）」を96%の確率で、「テクニック（手法）」を87%の確率で正しく特定しました。
- 地図： 彼らはこのデータをNeo4j（デジタルなクモの巣のようなもの）と呼ばれるデータベースに投入しました。
- パイプラインの地図： 接続関係は示していましたが、「～によって達成される」といった具体的な表現ではなく、「～に関連する」といった曖昧な線を用いることがあり、少し乱雑でした。
- ジョイントの地図： よりクリーンで焦点の絞られたウェブを作成しました。脆弱性を弱点や影響と正しくリンクさせましたが、特定の「ベンダー」名は時として見落とすことがありました。
結論
この論文は、このCVE-TTP ナレッジグラフを構築することで、「何が壊れているか」と「それがどのように攻撃されるか」の間の溝を埋めることに成功したと主張しています。
セキュリティチームは、単に壊れた鍵の長いリストを眺める代わりに、「この特定の鍵は、この特定のツールを使って、この特定の目的を達成しようとする泥棒によって、このように開けられる可能性が高い」ということを示す視覚的な地図を手に入れます。これにより、防御者は単に被害に反応するのではなく、どの鍵を優先的に修理すべきかを判断し、犯罪者の意図を理解することができるようになります。
著者らは、自分たちのシステムは大きな前進であるものの、曖昧な言葉（例えば、「service」がソフトウェアのサービスを指すのか、修理サービスを指すのか判別できない場合など）や、指示代名詞（「これ」「この問題」など）への対応には依然として課題があり、将来的にこれらを解決したいと考えています。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。