An Automated Framework for Extracting Reachable Attack Chains from Cyber Threat Intelligence Reports
Dit artikel stelt een geautomatiseerd framework voor dat gebruikmaakt van grote taalmodellen om gestructureerde aanvalseenheden met precondities en postcondities te extraheren uit ongestructureerde Cyber Threat Intelligence-rapporten, en deze te compileren naar Datalog-regels om effectieve bereikbaarheidsanalyse en redenering over meerstaps aanvalsketens mogelijk te maken.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je het internet voor als een enorme, bruisende stad waar kwaadwillenden constant proberen gebouwen binnen te sluipen, sleutels te stelen en deuren te ontgrendelen. Om dit te stoppen, schrijven beveiligingsexperts gedetailleerde verhalen die "Cyber Threat Intelligence"-rapporten worden genoemd. Deze verhalen beschrijven precies hoe een hacker is binnengekomen: "Eerst stuurden ze een nep-e-mail. Daarna klikte het slachtoffer op een link. Vervolgens downloadde een virus zichzelf." Het is als een dossier van een detective. Maar hier is het probleem: deze verhalen zijn geschreven in rommelig, menselijk taalgebruik. Een computer die probeert dit te lezen raakt in de war. Het kan niet gemakkelijk begrijpen waarom stap twee gebeurde (stap één moest eerst voltooid zijn) of wat er veranderde in het systeem na stap twee. Het is alsof je probeert een werkende robot te bouwen met alleen een stapel ongesorteerde receptenkaarten; je kent de ingrediënten, maar je weet niet de volgorde of de oorzaak-gevolgrelatie.
Om dit op te lossen, hebben onderzoekers een manier nodig om die rommelige verhalen om te zetten in een strikt, logisch blauwdruk die een computer daadwerkelijk kan uitvoeren. Ze moeten niet alleen weten wat de hacker deed, maar ook welke condities waar moesten zijn zodat de hacker het kon doen (de "precondities") en in welke nieuwe staat het systeem daarna werd achtergelaten (de "postcondities"). Denk aan een bordspel: je kunt je pion niet naar een nieuw vakje bewegen tenzij je de juiste dobbelsteenworp hebt (de conditie), en zodra je beweegt, staat je pion nu op een nieuwe plek (het resultaat). Als je die verhalen van een hacker kunt vertalen naar een perfect set spelregels, kun je de computer vragen: "Kan een hacker van de voordeur naar de kluis komen?" en een definitief antwoord krijgen. Dit is de uitdaging waar dit artikel aan werkt: het omzetten van vage spionnenverhalen in een precieze, speelbare game van cyberverdediging.
De auteurs van dit artikel hebben een slim, geautomatiseerd framework gebouwd om dit puzzelstuk op te lossen. Ze realiseerden zich dat simpelweg een slim computerprogramma (een Large Language Model) vragen om "het verhaal te lezen en de regels te geven" niet goed werkt. Als je alleen om het geheel in één keer vraagt, raakt de computer vaak de details kwijt, haalt hij de volgorde door elkaar of verzint hij stappen die eigenlijk niet bestaan. Het is alsof je een student vraagt om in één ademtocht een heel essay te schrijven; hij kan de logica missen. In plaats daarvan hebben de onderzoekers een meerfasige assemblageband ontworiment.
Eerst werkt het systeem als een zorgvuldige redacteur die de belangrijkste "aanvalshandelingen" uit de tekst haalt, zoals "bestand downloaden" of "firewall omzeilen". Daarna werkt het als een detective die op zoek gaat naar de specifieke aanwijzingen die verklaren waarom die handeling mogelijk was en wat er daarna gebeurde. Maar hier is de magie: het laat die aanwijzingen niet als rommelige zinnen achter. Het dwingt ze in een strikte, gestandaardiseerde code, zoals het vertalen van "de computer staat open voor het internet" naar een specifieke spel-token genaamd network.open. Dit is cruciaal omdat het de computer in staat stelt om te controleren of de "tokens" perfect overeenkomen. Als de eerste handeling een "deur open" token achterlaat, kan de volgende handeling alleen plaatsvinden als deze een "deur open" token nodig heeft.
Het systeem heeft zelfs een "kwaliteitscontrole"-fase. Het voert een simulatie uit om te zien of de keten van handelingen daadwerkelijk van begin tot eind verbonden is. Als het een gebroken schakel vindt—zoals een stap die een "wachtwoord" token nodig heeft die nooit is gecreëerd—stopt het en probeert het de fout te herstellen, of markeert het tenminste de fout. Ten slotte compileert het al deze schone, geverifieerde stappen in een set logische regels (met behulp van een taal genaamd Datalog) die een computer direct kan draaien om te zien of een specifiek aanvalsdoel bereikbaar is.
Toen ze dit testten op 20 echte cyberaanvalrapporten met 334 specifieke stappen, waren de resultaten indrukwekkend. Hun methode vond en formatteerde 94,9% van de aanvalstappen correct, waarmee ze andere bestaande tools versloeg die slechts rond de 80% of minder haalden. Belangrijker nog, toen ze de computer de logica lieten draaien op deze geëxtraheerde regels, slaagde het erin om het doel van de hacker te bereiken in 19 van de 20 rapporten. Dit bewijst dat hun "assemblageband"-aanpak veel beter is in het omzetten van rommelige menselijke verhalen in schone, speelbare spelregels dan simpelweg een slimme AI te vragen de hele boel in één keer te raden. Ze hebben niet alleen de stappen gevonden; ze hebben een brug gebouwd waarmee computers de logica van een aanval daadwerkelijk kunnen begrijpen, waardoor een statisch verhaal verandert in een dynamische kaart van gevaar.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.