Context-aware Entity-Relation Extraction for Threat Intelligence Knowledge Graphs

기술 요약: 위협 인텔리전스 지식 그래프를 위한 문맥 인식 개체 - 관계 추출 (CTiKG)

문제 제기
사이버 보안 지식 그래프 (CKG) 구축은 다양한 사이버 위협 인텔리전스 (CTI) 소스를 구조화되고 쿼리가 가능한 형식으로 통합하여 사전 방어 및 실시간 분석을 지원하기 위해 필수적입니다. 그러나 CTI 보고서의 비구조화된 특성, 즉 복잡한 내러티브, 도메인 특화 전문 용어, 그리고 의미적 모호성으로 인해 이 과정의 자동화는 방해받고 있습니다. 기존 접근 방식은 일반적으로 결합 추출 (JE) 과 파이프라인 추출 (PE) 두 가지 범주로 나뉩니다. JE 모델은 Named Entity Recognition(NER) 과 Relation Extraction(RE) 을 통합하여 오류 전파를 줄이지만, 종종 특징 혼란, 중첩 관계 처리의 어려움, 그리고 모듈식 최적화의 비유연성으로 고통받습니다. 반면, PE 접근 방식은 모듈식 설계를 가능하게 하지만, 개체 인식의 부정확성이 관계 분류로 연쇄적으로 전파되어 지식 그래프의 전반적인 품질을 저하시키는 오류 전파에 취약합니다. 또한, 이전 파이프라인 프레임워크 (예: 저자들의 이전 작업인 TiKG) 는 일관되지 않은 태깅 시퀀스를 생성하고 사이버 보안 특화 용어 처리에 어려움을 겪는 범용 언어 모델이나 분류기 (예: TDD-softmax) 에 의존했습니다.

방법론
본 논문은 세 가지 명확한 단계를 통해 이전 모델의 한계를 해결하도록 설계된 파이프라인 아키텍처인 문맥 인식 위협 인텔리전스 지식 그래프 (CTiKG) 프레임워크를 소개합니다:

1. 데이터 수집 및 처리: 보고서들은 저장소 (예: MITRE ATT&CK, APT 저장소) 에서 수집되어 일반 텍스트로 변환됩니다. 전처리에는 원시 입력을 시뮬레이션하기 위해 URL/이메일을 마스킹하는 등의 정제가 포함됩니다.
2. 개체 - 관계 추출: 이 핵심 단계는 두 가지 전문화된 모듈을 활용합니다:
   • 개체 인식 (NER): 저자들은 이전 TDD-softmax 분류기를 대체하여 유효한 BIO 태그 전이를 강제하고 시퀀스 수준의 일관성을 개선하기 위해 조건부 무작위 필드 (CRF) 계층을 도입한 SecureBERT+-BiGRU-CRF 아키텍처를 제안합니다. 이 모델은 컨텍스트 임베딩을 생성하기 위해 도메인 적응형 BERT 변체인 SecureBERT+ 를 활용하며, 이는 Bidirectional Gated Recurrent Unit(BiGRU) 에 의해 처리되어 토큰 의존성을 포착한 후 CRF 계층에서 토큰 수준의 분류를 수행합니다.
   • 관계 추출 (RE): 관계 유형이 독립적이며 순차적 의존성이 없다는 점을 인식하여, 저자들은 아키텍처를 단순화하고 추론 속도를 높이기 위해 CRF 계층을 Time-Distributed Dense(TDD) 계층으로 대체한 SecureBERT+-BiGRU-TDD 아키텍처를 활용합니다. 중요한 점은 이 단계가 개체 쌍 분류를 안내하기 위해 UCO 2.0 에서 영감을 받은 도메인 특화 온톨로지를 통합한다는 것입니다. 이 온톨로지는 affiliatedWith, targets, hasVulnerability 와 같은 15 가지 특정 관계 유형을 정의하며, 잘못된 개체 쌍을 필터링하여 오분류를 완화하는 데 사용됩니다.
3. 구축 및 분석: 추출된 삼중항 (triples) 은 Neo4j 에 저장되며, 여기서 개체는 노드로, 관계는 엣지로 작용하여 구축된 그래프의 쿼리 기반 검색 및 분석을 가능하게 합니다.

주요 기여

• 새로운 NER 아키텍처: 이전 소프트맥스 기반 분류기의 일관되지 않은 태깅 문제를 해결하여 21 개 개체 카테고리 전반에서 최대 4% 의 F1 점수 개선을 달성한 SecureBERT+-BiGRU-CRF 모델의 도입.
• 향상된 RE 아키텍처: 도메인 특화 컨텍스트 임베딩과 온톨로지 기반 오류 제어를 통합하여 관계 추출에서 최대 8% 의 F1 점수 개선을 이끌어낸 새로운 SecureBERT+-BiGRU-TDD 모델.
• 데이터셋 증강 및 공개: DNRTI-STIX2 에서 파생된 증강 데이터셋인 DNRTI-AUG-STIX2의 생성 및 공개. 이는 심각한 클래스 불균형을 해결하고 희귀 개체 유형을 통합 (예: SHA1, SHA2, MD5 를 단일 HASH 유형으로 병합) 하기 위해 보안 전문가들이 1,367 개의 추가 문장을 수동으로 주석 달기를 수행한 작업입니다. 이 데이터셋은 STIX 2.1 에 정렬된 21 개 개체 유형을 포함합니다.
• 종합 벤치마킹: DNRTI-AUG-STIX2 데이터셋에 대한 광범위한 평가와 DNRTI 및 STUCCO 벤치마크에 대한 추가 검증을 통해 프레임워크의 견고성과 일반화 능력을 입증.

실험 결과
제안된 CTiKG 프레임워크는 정밀도, 재현율, F1 점수 지표를 사용하여 BiLSTM-CRF, RoBERTa, 이전 TiKG 변형 등을 포함한 최첨단 베이스라인에 대해 평가되었습니다:

• NER 성능: SecureBERT+-BiGRU-CRF 모델은 DNRTI-AUG-STIX2 에서 0.93, DNRTI 에서 0.94, STUCCO 에서 0.98의 F1 점수를 달성했습니다. 이는 이전 베이스라인 대비 3~4% 의 향상을 의미합니다. 결과는 SecureBERT+ 가 마스킹 언어 모델링에서 상당한 개선을 보였음에도 불구하고, 주요 NER 개선은 CRF 계층이 시퀀스 의존성을 모델링하는 능력에 의해 주도되었음을 나타냅니다.
• RE 성능: SecureBERT+-BiGRU-TDD 모델은 DNRTI-AUG-STIX2 에서 0.98의 F1 점수를 달성하여 모든 지표를 기준으로 이전 TiKG RE 모듈보다 6~8% 더 우수한 성능을 보였습니다. 연구는 관계 추출에 있어 CRF 계층이 TDD 대비 측정 가능한 이점을 제공하지 않았음을 지적하여 단순화된 아키텍처를 정당화했습니다.
• 일반화: 모델은 취약점 설명의 일관된 언어 패턴과 모델의 도메인 적응에 힘입어 취약점 중심의 STUCCO 데이터셋을 포함한 다양한 데이터셋에서 일관된 높은 성능을 입증했습니다.

의의 및 주장
본 논문은 CTiKG 가 위협 분석, 프로파일링, 방어 전략 개발을 위한 견고하고 보안 인식이 갖춰진 프레임워크를 확립한다고 주장합니다. NER 과 RE 를 분리하면서도 도메인 특화 임베딩과 온톨로지적 제약을 활용함으로써, 이 프레임워크는 전통적인 파이프라인 접근 방식에 내재된 오류 전파를 효과적으로 완화합니다. 저자들은 SecureBERT+ 와 도메인 온톨로지의 통합이 CKG 의 정밀도와 일반화 능력을 크게 향상시켜, 비구조화된 CTI 보고서를 구조화된 인텔리전스로 더 정확하게 변환할 수 있게 한다고 강조합니다. 재현성 촉진과 해당 분야의 추가 연구를 장려하기 위해 큐레이션된 데이터셋과 코드를 GitHub 에 공개한 점은 주요 기여로 부각됩니다. 이 작업은 복잡한 데이터셋과 사이버 보안 특화 전문 용어 처리에서의 한계를 해결하기 위해 TiKG 프레임워크를 확장한 것으로 제시됩니다.