CVE-TTP KG: Knowledge Graph Linking Software Vulnerabilities to Attack Behaviors
Dit artikel introduceert CVE-TTP, een Knowledge Graph die de kloof tussen softwarekwetsbaarheden en aanvallersgedrag overbrugt door CVE's te koppelen aan MITRE ATT&CK-tactieken en -technieken met behulp van transformer-gebaseerde modellen en een Neo4j-visualisatieframework.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je de wereld van cybersecurity voor als een enorme, chaotische bibliotheek. Op één plank vind je de CVE (Common Vulnerabilities and Exposures) sectie. Dit is een gigantische catalogus van elk bekend "gebroken slot" of "gebarsten raam" in software. Het vertelt je wat er kapot is en waar het zich bevindt, maar het vertelt je niet wie er probeert in te breken of hoe ze dat van plan zijn.
Op een andere plank vind je de MITRE ATT&CK sectie. Dit is een handboek van crimineel gedrag. Het beschrijft de "Tactics" (het doel van de crimineel, zoals "de sleutels stelen") en de "Techniques" (de specifieke methode, zoals "het kraken van een slot" of "het inslaan van het glas").
Het Probleem:
Lange tijd praatten deze twee planken niet met elkaar. Beveiligingsteams hadden een lijst met gebroken sloten, maar hadden geen idee welke sloten door criminelen daadwerkelijk werden aangevallen of hoe ze die van plan waren uit te buiten. Het is alsof je weet dat een raam gebarsten is, maar niet weet of de inbreker van plan is om naar binnen te klimmen, het in te slaan, of er gewoon een steen doorheen te gooien.
De Oplossing: De CVE-TTP Knowledge Graph
De auteurs van dit paper hebben een "super-bibliothecaris"-systeem gebouwd genaamd de CVE-TTP Knowledge Graph. Denk aan dit als een gigantische, intelligente kaart die directe lijnen trekt tussen de gebroken sloten (CVE's) en de criminele handboeken (Tactics en Techniques).
Zo hebben ze dit gebouwd, met behulp van eenvoudige analogieën:
1. De Training van de Detective (Dataverzameling)
Eerst verzamelde het team een enorme bibliotheek van 276.000 kwetsbaarheidsrapporten. Om hun systeem te leren hoe ze de verbanden kunnen leggen, volgden ze handmatig het pad van een gebroken slot naar een criminele methode.
- De Keten: Ze verbonden een Vulnerability (het gebroken slot) een Weakness (het type fout) een Attack Pattern (het plan van de crimineel) een Technique (de specifieke beweging) een Tactic (het uiteindelijke doel).
- Het Resultaat: Ze creëerden een "Gold Standard" dataset van 1.080 voorbeelden waar mensen de lijnen al perfect hadden getrokken. Dit diende als de leraar voor hun AI.
2. De Twee Detective-stijlen (De AI-modellen)
Het team bouwde twee verschillende soorten AI-"detectives" om de kwetsbaarheidsrapporten te lezen en de lijnen automatisch te trekken.
Detective A (De Pipeline-benadering): Deze detective werkt in twee stappen. Eerst leest hij de tekst en markeert de belangrijke woorden (zoals "Microsoft", "Windows" of "Denial of Service"). Daarna kijkt een tweede detective naar deze gemarkeerde woorden en beslist hoe ze met elkaar verbonden zijn.
- Analogie: Het is als een team waarbij één persoon de verdachten markeert, en een tweede persoon de lijnen tussen hen tekent.
- Prestaties: Zeer goed in het vinden van de woorden (99% nauwkeurigheid) en het verbinden ervan (99% nauwkeurigheid), maar soms mist de tweede detective de nuance omdat hij het hele plaatje niet in één keer ziet.
Detective B (De Joint-benadering): Deze detective leest de tekst en tekent de lijnen allemaal tegelijkertijd. Hij bekijkt de hele zin en besluit: "Dit woord is een verdachte, dat woord is een locatie, en ze zijn verbonden door deze specifieke misdaad."
- Analogie: Dit is een enkele detective die de hele plaats delict direct ziet en de kaart in één beweging tekent.
- Prestaties: Hij was iets minder perfect in het vinden van elk afzonderlijk woord (78% nauwkeurigheid) vergeleken met het tweetal uit de eerste methode, maar hij was veel beter in het begrijpen van de context en het vermijden van fouten waarbij de ene stap de volgende verpest.
3. Het "Brein" van het Systeem (De Modellen)
Om deze detectives slim te maken, gebruikte het team een speciaal type AI-brein genaamd CySecBERT.
- Stel je een normaal brein voor dat nieuws leest en "kat" en "hond" begrijpt.
- CySecBERT is een brein dat miljoenen cybersecurity-blogs, rapporten en tweets heeft gelezen. Het begrijpt al dat "SQL Injection" niet alleen een databasefout is, maar een specifiek type aanval.
- Het team leerde dit brein om naar een kwetsbaarheidsrapport te kijken en te zeggen: "Ah, dit specifieke gebroken slot zal waarschijnlijk worden gebruikt door een crimineel die probeert credentials te stelen (Tactic) via Network Sniffing (Technique)."
4. De Resultaten: Een Duidelijkere Kaart
Toen ze hun systeem testten:
- De Vaardigheid van het Brein: Het CySecBERT-model was ongelooflijk goed in het raden van het plan van de crimineel. Het identificeerde de "Tactics" (doelen) in 96% van de gevallen correct en de "Techniques" (methoden) in 87% van de gevallen.
- De Kaart: Ze voerden al deze gegevens in een database genaamd Neo4j (denk aan een digitale spinnenweb).
- De Pipeline-kaart: Toonde de verbindingen, maar gebruikte soms vage lijnen zoals "geassocieerd met" in plaats van specifieke termen zoals "bereikt door middel van". Het was een beetje rommelig.
- De Joint-kaart: Creëerde een schonere, meer gefocuste web. Het verbond de kwetsbaarheid correct met de zwakte en de impact, hoewel het soms specifieke "vendor"-namen miste.
De Kernboodschap
Het paper beweert dat door het bouwen van deze CVE-TTP Knowledge Graph, zij erin zijn geslaagd de kloof te overbruggen tussen "wat er kapot is" en "hoe het wordt aangevallen".
In plaats van dat beveiligingsteams naar een lange lijst met gebroken sloten staren, hebben ze nu een visuele kaart die laat zien: "Dit specifieke slot zal waarschijnlijk worden gekraakt door een dief met behulp van dit specifieke gereedschap om dit specifieke doel te bereiken." Dit helpt verdedigers om te prioriteren welke sloten ze als eerste moeten repareren en om de intentie van de crimineel te begrijpen, in plaats van alleen maar te reageren op de schade.
De auteurs merken op dat hoewel hun systeem een grote stap voorwaarts is, het nog steeds worstelt met ambigue woorden (zoals niet weten of "service" een softwarematige dienst of een reparatiedienst betekent) en verwijzingen (zoals "het" of "dit probleem"), zaken die ze in de toekomst hopen te verbeteren.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.