OntoLogX: Ontology-Guided Knowledge Graph Extraction from Cybersecurity Logs with Large Language Models

1. Declaração do Problema

Os logs de sistemas de cibersegurança são uma fonte crítica de Inteligência de Ameaças Cibernéticas (CTI), contendo evidências de comportamentos de atacantes, vulnerabilidades e rastros maliciosos. No entanto, a extração de inteligência acionável desses logs é impedida por vários desafios:

• Dados Não Estruturados e Heterogêneos: Os logs variam significativamente em formato, sintaxe e semântica entre diferentes dispositivos e sessões.
• Fragmentação: Cenários de ataque são frequentemente divididos em múltiplas entradas de log, dificultando a reconstrução da narrativa completa.
• Limitações dos Métodos Tradicionais: Analisadores baseados em regras e heurísticas carecem de adaptabilidade para generalizar entre comportamentos de ameaça em evolução e formatos de log diversos.
• Limitações dos LLMs: Embora os Modelos de Linguagem de Grande Escala (LLMs) se destaquem no processamento de linguagem natural, eles frequentemente carecem de consistência factual, fundamentação específica do domínio e capacidade de produzir saídas estruturalmente válidas sem intervenção pesada do usuário ou pré-processamento.

O problema central é a necessidade de um sistema autônomo que possa transformar dados de log brutos e ruidosos em Grafos de Conhecimento (KGs) coerentes, semanticamente consistentes e interoperáveis, sem intervenção manual, garantindo que a saída adira a ontologias de domínio estritas.

2. Metodologia: O Framework OntoLogX

O OntoLogX é um agente de IA autônomo projetado para processar eventos de log sequencialmente e incrementalmente. Ele aproveita LLMs, Geração Aumentada por Recuperação (RAG) e validação iterativa para construir KGs fundamentados em ontologia. O fluxo de trabalho consiste em quatro etapas principais:

A. Design da Ontologia

O sistema utiliza uma ontologia de log personalizada e leve, adaptada para cibersegurança.

• Estrutura: Define classes principais como Evento, Fonte (dispositivo/aplicação), Parâmetro (ex.: carimbos de data/hora, endereços de rede, usuários) e CredencialDeUsuário.
• Alinhamento: Mapeia para ontologias de proveniência padrão (ex.: prov-o) e ontologias de tempo do W3C para garantir interoperabilidade.
• Validação: Um esquema SHACL (Shapes Constraint Language) companheiro impõe restrições sobre cardinalidades de propriedades, tipos de dados e campos obrigatórios para garantir validade sintática e semântica.

B. Recuperação Híbrida (RAG)

Antes de gerar um KG para um novo evento de log, o OntoLogX recupera exemplos passados semanticamente similares para servir como prompts de poucos exemplos (few-shot prompts).

• Busca Híbrida: Combina busca vetorial (para similaridade semântica) e busca de texto completo (para correspondência exata de palavras-chave) contra um banco de dados de grafos de KGs previamente gerados.
• Reclassificação: O sistema utiliza a Relevância Marginal Máxima (MMR) para equilibrar relevância com diversidade, garantindo que os exemplos recuperados cubram uma ampla gama de padrões em vez de se agruparem em torno de uma única interpretação.

C. Geração Guiada por Ontologia

O LLM gera um KG candidato com base no log bruto, contexto opcional (ex.: tipo de dispositivo) e nos exemplos recuperados.

• Saída Estruturada: O modelo é restrito a gerar em um esquema pré-definido (ex.: formato JSON ou Turtle) definido pela ontologia, prevenindo a geração de texto livre.
• Independência de Modelo: O design do prompt é genérico, permitindo compatibilidade com vários backends de LLM.

D. Validação e Correção Iterativa

Para mitigar alucinações de LLM e erros estruturais, o OntoLogX emprega um loop de autocorreção:

1. Verificação Sintática: Verifica o formato de saída.
2. Conformidade com Ontologia: Executa a saída contra regras SHACL.
3. Validação Semântica: Verifica inconsistências lógicas (ex.: nós de Evento ausentes, relacionamentos indefinidos).
4. Prompt de Correção: Se violações forem encontradas, o sistema gera um prompt direcionado ao LLM para corrigir erros específicos. Este loop se repete (até 3 vezes) até que um KG válido seja produzido ou o sistema retorne a um grafo vazio.

E. Aplicação a Montante: Predição de Táticas

Uma vez que os KGs são gerados e agrupados em sessões (com base na proximidade temporal ou lógica), uma chamada final de LLM analisa o grafo agregado para prever táticas MITRE ATT&CK. Isso conecta evidências de log de baixo nível com objetivos adversários de alto nível.

3. Contribuições Principais

1. Ontologia de Log Leve e Esquema SHACL: Um esquema específico de domínio projetado para equilibrar expressividade com a simplicidade necessária para extração automatizada de logs brutos.
2. Agente OntoLogX: Um agente aumentado por recuperação e baseado em LLM que transforma autonomamente logs brutos em KGs compatíveis com ontologia sem intervenção humana.
3. Mecanismo de Correção Iterativa: Um novo loop de feedback usando validação SHACL para refinar iterativamente as saídas de LLM, melhorando significativamente a precisão estrutural.
4. Avaliação Empírica: Um estudo abrangente avaliando o sistema em conjuntos de dados de referência públicos e em um conjunto de dados real de honeypot, incluindo um estudo de ablação dos componentes do sistema e uma comparação entre oito LLMs diferentes.

4. Resultados Experimentais

Os autores avaliaram o OntoLogX usando oito LLMs (incluindo Llama 3.3, Claude 3.5, Mistral e Qwen3 Coder) em dois conjuntos de dados: o conjunto de dados de log AIT (heterogêneo, não focado em ataques) e um conjunto de dados de honeypot Cowrie (atividade adversarial real).

• Qualidade da Construção de KG:

  • Desempenho: O pipeline completo (Recuperação + Saída Estruturada + Correção) alcançou as maiores pontuações de Precisão, Revocação (Recall) e F1.
  • Comparação de Modelos: Claude Sonnet 4 e Qwen3 Coder (32B) tiveram o melhor desempenho. Notavelmente, modelos especializados em código (Qwen) e modelos de raciocínio mostraram sucesso variado; modelos de raciocínio (ex.: gpt-oss) lutaram com ferramentas de saída estruturada, frequentemente falhando em chamar a função corretamente.
  • Ablação: Mecanismos de recuperação e correção foram cruciais. A recuperação isolada melhorou a consistência, enquanto a correção reduziu significativamente as violações de SHACL.
  • Compromisso: Existe um compromisso entre pontuações G-Eval (riqueza semântica) e pontuações F1 (precisão estrutural). Os autores argumentam que uma abordagem equilibrada (G-Eval ~0,7–0,8) é ótima para evitar grafos ruidosos, mas semanticamente "ricos".

• Predição de Táticas MITRE ATT&CK:

  • O OntoLogX superou uma linha de base (LLM prevendo táticas diretamente a partir de logs brutos).
  • Pontos Fortes: Mostrou Revocação (Recall) superior para táticas complexas e dependentes de contexto, como Descoberta, Acesso a Credenciais e Evasão de Defesa, que exigem raciocínio multi-etapa sobre entidades estruturadas.
  • Limitações: O desempenho foi menor para táticas que exigem correlação de longo prazo (ex.: Persistência), pois essas frequentemente dependem de contexto ambiental não totalmente capturado em sessões de log curtas.

5. Significado e Trabalho Futuro

Significado:

• Automação: O OntoLogX demonstra que agentes autônomos podem efetivamente preencher a lacuna entre logs não estruturados e CTI estruturada, reduzindo a necessidade de análise manual e engenharia de regras.
• Interoperabilidade: Ao fundamentar as saídas em uma ontologia padrão, o sistema permite consultas semânticas e integração com frameworks de CTI existentes.
• Inteligência Acionável: A capacidade de mapear eventos de baixo nível para táticas MITRE ATT&CK fornece aos analistas de segurança contexto de ameaça imediato e de alto nível.

Limitações e Direções Futuras:

• Custo Computacional: A dependência de LLMs introduz latência e custo, o que pode ser desafiador para ambientes de alta vazão e em tempo real.
• Alucinações: Embora RAG e validação reduzam riscos, alucinações não podem ser totalmente eliminadas.
• Escalabilidade: Trabalhos futuros visam otimizar a orquestração de recursos, explorar aprendizado incremental e estender a ontologia para cobrir diversas fontes de log empresariais e industriais.

Em conclusão, o OntoLogX representa um passo significativo para frente na Inteligência de Ameaças Cibernéticas automatizada, provando que combinar restrições guiadas por ontologia com o poder generativo de LLMs pode produzir insights de segurança robustos, interpretáveis e acionáveis.