🤖 machine learning

Noise Contrastive Estimation-based Matching Framework for Low-Resource Security Attack Pattern Recognition

Este artigo propõe uma estrutura de correspondência neural baseada em Estimativa de Contraste de Ruído que reformula o mapeamento de TTP como uma tarefa de similaridade semântica para superar os desafios de grandes espaços de rótulos, distribuições enviesadas e complexidade hierárquica no reconhecimento de padrões de ataque de segurança de baixo recurso.

Autores originais: Tu Nguyen, Nedim Šrndić, Alexander Neth

Publicado 2026-08-27

📖 6 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Tu Nguyen, Nedim Šrndić, Alexander Neth

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

No mundo digital, os especialistas em cibersegurança atuam como os guardiões de nossas informações, constantemente monitorando sinais de intrusão. Para fazer isso de forma eficaz, eles dependem de uma vasta biblioteca de métodos de ataque conhecidos, um catálogo padronizado chamado Táticas, Técnicas e Procedimentos, ou TTPs. Pense neles como os movimentos específicos no roteiro de um criminoso: uma tática é o objetivo, como roubar dados ou manter um sistema refém; uma técnica é o método usado para atingir esse objetivo, como enviar um e-mail enganoso ou esconder um arquivo; e um procedimento é a execução exata, passo a passo, desse método. Os analistas de segurança leem milhares de relatórios escritos por outros especialistas, descrevendo como hackers violaram sistemas. O trabalho deles é ler essas narrativas e associar as ações descritas às entradas corretas no catálogo. Esse processo, conhecido como mapeamento de TTP, é crucial porque permite que os defensores reconheçam padrões, prevejam ataques futuros e fortaleçam suas defesas. No entanto, o catálogo é enorme, contendo centenas de técnicas e milhares de variações, e os próprios relatórios são frequentemente escritos em uma linguagem complexa e não estruturada que não nomeia explicitamente as técnicas que estão sendo usadas.

Durante anos, pesquisadores tentaram ensinar computadores a realizar essa tarefa de correspondência automaticamente. A abordagem padrão tem sido tratar isso como um teste de múltipla escolha, onde o computador deve escolher a técnica correta de uma lista massiva de possibilidades para cada frase ou parágrafo que lê. Este método encontra problemas significativos porque a lista de escolhas é tão longa e o número de exemplos disponíveis para treinamento é tão pequeno. É como pedir a um estudante que memorize um dicionário e depois escolha a palavra certa para uma história sem nunca ter visto a história antes. O computador fica sobrecarregado pelo enorme número de opções e tem dificuldade em aprender as sutilezas entre elas, especialmente para métodos de ataque raros ou incomuns que aparecem infrequentemente nos dados de treinamento.

Uma equipe de pesquisadores da Huawei R&D em Munique propôs uma maneira diferente de resolver este problema. Em vez de forçar o computador a escolher de uma lista gigante de opções, eles reimaginaram a tarefa como um jogo de correspondência. Nesta nova abordagem, o computador não tenta classificar cada técnica possível contra um texto. Em vez disso, ele aprende a medir o quão próximo o significado de um trecho de texto se alinha com a descrição de uma técnica específica. O sistema pega um parágrafo de um relatório de ameaça e o compara diretamente com a descrição escrita de uma técnica do catálogo. Se os significados forem semelhantes, o sistema atribui uma pontuação alta; se forem diferentes, atribui uma pontuação baixa. Isso desloca o foco de memorizar uma lista enorme para entender a relação entre dois fragmentos de texto.

Para fazer isso funcionar com dados limitados, os pesquisadores desenvolveram um método de treinamento inteligente. Eles não mostram ao computador todas as técnicas de uma só vez, o que seria muito lento e confuso. Em vez disso, apresentam-lhe um texto e algumas técnicas aleatórias para comparar. Algumas dessas técnicas são a correspondência correta, enquanto outras são incorretas. O computador aprende a elevar a pontuação da correspondência correta e a baixar as pontuações das incorretas. Os pesquisadores refinaram esse processo com dois ajustes específicos para lidar com a desordem dos dados do mundo real. Primeiro, eles ajustaram o treinamento para garantir que o computador preste atenção ao grupo geral de opções incorretas sem se confundir com sua ordem interna. Segundo, ensinaram o sistema a ser mais tolerante a erros nos dados de treinamento. Como especialistas humanos às vezes deixam de rotular uma técnica em um relatório, o sistema aprendeu a tratar algumas respostas "erradas" como potencialmente corretas, evitando que se tornasse muito rígido.

Os resultados deste novo framework foram testados contra vários métodos existentes usando relatórios de cibersegurança do mundo real. Os pesquisadores criaram um novo conjunto de dados de parágrafos anotados por especialistas para garantir um teste justo, o qual continha mais rótulos por amostra do que os conjuntos de dados anteriores. Quando realizaram os experimentos, sua abordagem baseada em correspondência superou consistentemente os métodos tradicionais que tentavam classificar o texto em categorias fixas. O novo sistema foi particularmente bom em identificar as técnicas corretas, mesmo quando os relatórios eram complexos ou as técnicas eram raras. Ele conseguiu encontrar as correspondências certas com mais frequência do que os modelos antigos, que tendiam a se perder no enorme volume de possibilidades.

O estudo também revelou que o tamanho dos dados de treinamento importa menos do que a qualidade da lógica de correspondência. Mesmo com um número relativamente pequeno de exemplos rotulados, o sistema aprendeu a generalizar bem para novos relatórios não vistos. Isso sugere que a capacidade de entender a conexão semântica entre uma descrição de ameaça e uma técnica é mais poderosa do que simplesmente memorizar uma grande lista de associações. Os pesquisadores descobriram que seu método funcionava melhor quando podia analisar o parágrafo inteiro de texto em vez de apenas sentenças isoladas, capturando o contexto completo do ataque. Ao focar na relação direta entre o texto e a descrição da técnica, o sistema evitou as armadilhas de tentar forçar um problema complexo e matizado dentro de uma caixa de classificação rígida.

Fundamentalmente, este trabalho oferece um caminho mais eficiente para automatizar a análise de ameaças cibernéticas. Demonstra que, ao mudar a forma como o problema é enquadrado — de uma tarefa de seleção massiva para uma tarefa de comparação direta — os computadores podem aprender a reconhecer padrões de ataque sofisticados mesmo quando os dados são escassos. Esta abordagem não apenas melhora a velocidade da análise; ela melhora a precisão, permitindo que as equipes de segurança confiem em ferramentas automatizadas para identificar os métodos específicos que os atacantes estão usando. À medida que as ameaças cibernéticas continuam a evoluir e a se tornar mais complexas, ter um sistema que possa compreender as conexões sutis nos relatórios de ameaças será uma ferramenta essencial para manter a infraestrutura digital segura. Os pesquisadores disponibilizaram seu novo conjunto de dados e métodos para a comunidade, esperando estimular novos avanços neste campo crítico.

Resumo Técnico: Estrutura de Correspondência Baseada em Estimativa de Contraste de Ruído para Reconhecimento de Padrões de Ataque de Segurança com Baixos Recursos

Definição do Problema

O artigo aborda o desafio do mapeamento de TTP (Táticas, Técnicas e Procedimentos), uma tarefa crítica de Inteligência de Ameaças Cibernéticas (CTI) que envolve a identificação de padrões de ataque sofisticados em relatórios de ameaças textuais não estruturados e o mapeamento para frameworks padronizados como o MITRE ATT&CK.

Os autores identificam diversas limitações nas abordagens de aprendizado convencionais (classificação multi-classe ou multi-rótulo) para este domínio:

Escassez e Desequilíbrio de Rótulos: A tarefa sofre com a falta de dados rotulados e uma distribuição de cauda longa de TTPs, onde muitas técnicas aparecem de forma infrequente.
Complexidade Hierárquica: O espaço de rótulos é amplo (mais de 600 técnicas) e estruturalmente complexo, com técnicas mapeando para múltiplas táticas e sub-técnicas.
Problemas de Granularidade: Os métodos existentes frequentemente dependem de granularidade ao nível de documento ou de sentença. Abordagens ao nível de documento introduzem complexidade desnecessária na representação de textos longos, enquanto abordagens ao nível de sentença falham em capturar o contexto necessário para TTPs complexos.
Restrições de Baixos Recursos: Métodos padrão de classificação de texto multi-rótulo extrema (XMTC), que frequentemente dependem da captura de correlações de rótulos ou do particionamento de espaços de rótulos, apresentam desempenho insatisfatório em cenários de escassez de rótulos devido ao aumento das relações sinal-ruído.

Metodologia

Os autores propõem uma mudança de paradigma da classificação direta para a correspondência de texto informada dinamicamente por rótulos. Em vez de otimizar um classificador para discriminar entre todos os possíveis rótulos simultaneamente, a tarefa é reformulada como um problema de correspondência semântica, onde a atribuição de um texto a um TTP é determinada pela similaridade semântica direta entre o segmento de texto de entrada e o perfil textual do TTP (descrição).

Arquitetura Central

A estrutura utiliza uma rede de correspondência de codificador duplo (dual-encoder matching network):

Codificadores: Uma rede compartilhada (estilo Siamese) processa tanto o segmento de texto de entrada quanto o perfil textual do TTP. Ela suporta dois modos: treinamento do zero (usando tokenizadores especializados para entidades de CTI) ou aproveitamento de transformers pré-treinados (especificamente o SecBERT).
Rede de Alinhamento: Um componente que computa pesos de atenção entre os tokens da entrada e o perfil do TTP, utilizando arquiteturas residuais baseadas em blocos e camadas de fusão (produto de Hadamard) para capturar interações sutis.
Saída: Os codificadores mapeiam as entradas para um espaço latente comum onde uma pontuação de correspondência é computada (ex: via produto escalar) e passada por uma função sigmoide para gerar uma probabilidade pareada.

Objetivos de Aprendizado

Para lidar com o grande espaço de rótulos e anotações incompletas (rótulos ausentes), os autores introduzem um mecanismo de aprendizado baseado em Estimativa de Contraste de Ruído (NCE - Noise Contrastive Estimation) com dois objetivos de amostragem complementares:

$\alpha$ -balanced NCE (Controle de Nível de Conjunto):
- Em vez de comparação exaustiva, o modelo amostra um conjunto de rótulos negativos candidatos em cada etapa de treinamento.
- Este objetivo controla a "massa coletiva" dos negativos amostrados sem alterar sua ordenação interna. Ele introduz um parâmetro $\gamma$ para ajustar a força de competição agregada do conjunto negativo, permitindo que o modelo explore o espaço de rótulos progressivamente ao longo do tempo, em vez de exigir exposição total em cada atualização.
Foco Assimétrico (Controle de Nível de Par):
- Projetado para lidar com o ruído de "rótulo ausente" (onde um negativo amostrado pode ser, na verdade, um positivo não anotado).
- Inspirado na perda assimétrica, este objetivo reduz o peso de negativos fáceis e aplica um corte $m$ para ignorar pares com baixa probabilidade. Utiliza parâmetros de foco distintos ( $\gamma_+$ para positivos, $\gamma_-$ para negativos) para garantir que negativos fáceis não dominem o gradiente, enquanto lida de forma robusta com a supervisão incompleta.

Estratégia de Treinamento

Amostragem ao Nível de Corpus: Os rótulos são extraídos do inventário total de rótulos em vez de apenas do mini-lote atual, garantindo uma exposição mais ampla ao espaço de rótulos.
Aprendizado Multi-Tarefa Hierárquico: Uma tarefa auxiliar prevê as "táticas" mais amplas associadas ao texto de entrada, otimizada conjuntamente com a tarefa principal de correspondência para aproveitar a estrutura hierárquica do MITRE ATT&CK.
Treinamento em Duas Etapas: Para a perda assimétrica, utiliza-se um procedimento de duas etapas: treinamento inicial com a perda $\alpha$ -balanced para estabilizar os gradientes, seguido pela introdução do foco assimétrico.

Principais Contribuições

Reformulação do Problema: Os autores redefinem o mapeamento de TTP como um problema de classificação de texto multi-rótulo hierárquico ao nível de parágrafo, transformando-o em uma tarefa de correspondência de texto que aproveita a similaridade semântica direta entre os perfis de TTP e a entrada.
Novas Funções de Perda: A introdução de dois objetivos de ranking amostrados complementares:
- $\alpha$ -balancing de nível de conjunto: Gerencia a massa e a cobertura do conjunto de candidatos.
- Foco Assimétrico de nível de par: Gerencia a influência de pares individuais sob ruído de rótulo ausente.
Curadoria de Dataset: A criação e o lançamento público de um dataset de Especialista (Expert dataset) que mimetiza de perto cenários do mundo real. Diferente dos datasets existentes (ex: TRAM) que focam em sentenças, este dataset cobre parágrafos inteiros, resultando em anotações inerentemente multi-rótulo com uma média de 1,84 rótulos por amostra (um aumento de aproximadamente 60-80% em relação aos 1,16 do TRAM).
Validação Empírica: Experimentos extensivos demonstrando que a estrutura de correspondência baseada em NCE proposta supera baselines fortes (incluindo BM25, Binary Relevance e modelos XMTC de última geração como NAPKINXC e XR-LINEAR) em múltiplos datasets.

Resultados

Os modelos propostos, particularmente aqueles que utilizam as perdas Asymmetric e $\alpha$ -balanced, alcançaram desempenho superior em três datasets: TRAM, Procedures+ e o novo Expert dataset.

Ganhos de Desempenho: Os modelos superaram significativamente os baselines em Precision@1, Recall@1 e F1@3. Por exemplo, no dataset Expert, o modelo Asymmetric alcançou um F1@3 de 0,399, comparado a 0,365 para o melhor baseline XMTC (NAPKINXC) e 0,279 para o XR-LINEAR.
Robustez à Cauda Longa: A análise de distribuições de cabeça vs. cauda mostrou que, enquanto os baselines de classificação sofreram significativamente com TTPs infrequentes (cauda), a abordagem de correspondência manteve uma robustez relativa, atribuída ao seu viés indutivo para capturar similaridades semânticas.
Generalização: Quando treinados no Procedure+ e TRAM e avaliados no unseen Expert dataset, os modelos propostos demonstraram melhores capacidades de generalização comparados aos baselines.
Ablação: O estudo confirmou a contribuição positiva da tarefa hierárquica auxiliar e do codificador pre-trained SecBERT, embora os modelos tenham permanecido competitivos mesmo sem os transformers.

Significância e Alegações

O artigo afirma oferecer uma solução eficiente em termos de rótulos para o mapeamento de TTP que supera os desafios de baixos recursos inerentes ao domínio da segurança. Ao desacoplar o processo de aprendizado da necessidade de otimização exaustiva do espaço de rótulos em cada etapa, a estrutura equilibra efetivamente o custo computacional com a cobertura cumulativa de rótulos.

Os autores enfatizam que sua abordagem é particularmente significativa porque:

Ela aborda o problema da cauda longa e a escassez de rótulos de forma mais eficaz do que os métodos atuais de XMTC, que frequentemente assumem supervisão suficiente.
Utiliza perfis textuais de TTPs (frequentamente negligenciados em trabalhos anteriores) para guiar o processo de correspondência, permitindo que o modelo generalize para padrões de ataque não vistos ou raros.
Fornece um dataset prático, anotado por especialistas, que reflete melhor a natureza multi-rótulo dos relatórios de ameaças reais, facilitando pesquisas futuras neste domínio.

Os autores mantêm a modéstia quanto às limitações, reconhecendo que, embora a abordagem seja eficiente em termos de rótulos, não é computacionalmente eficiente em termos de tempo de treinamento (exigindo ~24 horas em uma única GPU V100) e que o dataset Expert, embora de alta qualidade, ainda é relativamente pequeno e cobre apenas uma fração do total do espaço de TTPs. Eles também observam que os datasets contêm potenciais informações de identificação pessoal (PII) que exigem tratamento cuidadoso.