TIJERE: A Novel Threat Intelligence Joint Extraction Model Based on Analyst Expert Knowledge

Resumo Técnico: TIJERE – Um Modelo Inovador de Extração Conjunta de Inteligência de Ameaças Baseado no Conhecimento Especializado de Analistas

Declaração do Problema
A extração de inteligência de ameaças estruturada a partir de relatórios não estruturados é crítica para a construção de Grafos de Conhecimento de Cibersegurança (CKGs) a fim de automatizar a análise de ameaças. Este processo depende de Reconhecimento de Entidades Nomeadas (NER) e Extração de Relações (RE). Embora os modelos de Extração Conjunta (JE) ofereçam vantagens teóricas sobre a Extração em Pipeline (PE) ao reduzir a propagação de erros, os métodos existentes de JE no domínio da cibersegurança enfrentam obstáculos significativos:

1. Relações Sobrepostas: Sentenças frequentemente contêm múltiplos pares de entidades envolvendo as mesmas entidades em papéis diferentes, o que esquemas de marcação padrão têm dificuldade em desambiguar.
2. Confusão de Características: Quando as características de entidades e relações não são claramente separadas, os modelos têm dificuldade em aprender ambas as tarefas simultaneamente, particularmente quando a duplicação de sentenças é usada para lidar com sobreposições, introduzindo ruído.
3. Tipos de Relação Ambíguos: Analistas frequentemente usam expressões não vocabulares (por exemplo, "hasAttackTime") que carecem de clareza semântica para modelos genéricos.
4. Ambiguidade da Linguagem do Domínio: Modelos de linguagem genéricos falham em capturar jargão específico de cibersegurança (por exemplo, "Mimikatz"), levando a uma detecção deficiente de entidades e à propagação de ruído.
5. Escassez de Dados: Há uma falta de conjuntos de dados rotulados conjuntamente, publicamente disponíveis e especificamente projetados para NER e RE em cibersegurança.

Metodologia: O Framework TIJERE
Os autores propõem o TIJERE, um framework de JE orientado por dados que reformula a tarefa de extração como um problema de Representação de Rotulagem Multissequencial (MSLR). A arquitetura consiste nos seguintes componentes-chave:

• Representação de Rotulagem Multissequencial (MSLR): Em vez de uma única sequência por sentença, o TIJERE gera uma sequência separada para cada par de entidades válido dentro de uma sentença. Esta abordagem lida inerentemente com relações sobrepostas ao isolar o contexto para cada previsão de relação específica.
• Características de Domínio Especializado (EDFs): Para resolver a confusão de características e a ambiguidade semântica, o modelo integra duas características orientadas por especialistas na MSLR:
  • Tipo de Entidade: Codifica a categoria semântica do sujeito e do objeto (por exemplo, "HackOrg" e "Tool"). Isso fornece ao modelo contexto específico do domínio, imitando o raciocínio do analista (por exemplo, um grupo de hackers usando uma ferramenta implica uma relação "uses").
  • Máscara de Entidade: Uma representação baseada em vetores que destaca os tokens específicos pertencentes ao par de entidades sob consideração, orientando o modelo a focar em informações posicionais relevantes.
• Embedding SecureBERT+: O framework utiliza o SecureBERT+, uma variante do SecureBERT ajustada finamente em texto de cibersegurança, para gerar embeddings dinâmicos que capturam jargão específico do domínio e reduzem a ambiguidade linguística.
• Arquitetura do Modelo:
  • Codificador: SecureBERT+ seguido por uma camada BiGRU para capturar dependências sequenciais.
  • Cabeça NER: Uma camada Densa e uma camada de Campo Aleatório Condicional (CRF) para marcação de entidades em nível de token.
  • Cabeça RE: Um mecanismo de agrupamento de entidades agrega embeddings de tokens com base na máscara de entidade, concatena-os com embeddings estáticos de tipo de entidade e passa-os por uma camada Densa com Softmax para classificação de relações.
  • Função de Perda: Uma soma ponderada da perda NER (CRF) e da perda RE (Cross-Entropy) é usada para otimização conjunta.

Principais Contribuições

1. Modelo TIJERE: Uma arquitetura inovadora que combina MSLR com características orientadas por especialistas (tipo de entidade e máscara) para abordar relações sobrepostas e confusão de características sem depender de módulos externos baseados em regras que imitam abordagens em pipeline.
2. Conjunto de Dados DNRTI-JE: A introdução do primeiro conjunto de dados rotulado conjuntamente, publicamente disponível, para NER e RE em cibersegurança. Ele estende o conjunto de dados DNRTI original com 15 tipos de relações predefinidos e uma ontologia de domínio, cobrindo 6.592 sentenças descrevendo grupos de Ameaças Persistentes Avançadas (APT).
3. Validação Empírica: Uma avaliação abrangente demonstrando que o TIJERE supera os métodos existentes de JE e PE mais avançados no domínio da cibersegurança.

Resultados Experimentais
Avaliado no conjunto de dados DNRTI-JE, o modelo TIJERE (especificamente a variante SecureBERT+-BiGRU-CRF com EDFs habilitados) alcançou desempenho de última geração:

• Desempenho NER: Pontuação F1 de 0,93 (Precisão: 0,93, Revocação: 0,94).
• Desempenho RE: Pontuação F1 de 0,98 (Precisão: 0,98, Revocação: 0,99).
• Estudos de Ablação:
  • Habilitar EDFs melhorou significativamente o desempenho de RE (por exemplo, a pontuação F1 de RE BERT-CRF saltou de 0,44 para 0,97), enquanto o desempenho NER permaneceu estável.
  • A característica "Tipo de Entidade" sozinha proporcionou ganhos substanciais, mas a combinação de Tipo de Entidade e Máscara de Entidade rendeu a maior precisão, confirmando a natureza complementar de pistas semânticas e posicionais.
  • Variantes do SecureBERT+ superaram consistentemente os modelos BERT e RoBERTa padrão, destacando a importância do pré-treinamento específico do domínio.

Significado e Alegações
O artigo afirma que o TIJERE representa a primeira abordagem orientada por dados especificamente projetada para abordar os desafios únicos da extração conjunta em cibersegurança. Ao integrar o conhecimento especializado de analistas diretamente na representação de características do modelo (via EDFs) e utilizar uma estratégia de rotulagem multissequencial, o TIJERE mitiga efetivamente a confusão de características e os problemas de relações sobrepostas que afligem os métodos existentes.

Os autores afirmam que a combinação de TIJERE e o benchmark padronizado DNRTI-JE permite a extração de inteligência de alto desempenho com potencial transferível para outros domínios que exigem extração de informações estruturadas, como saúde, finanças e bioinformática. O trabalho enfatiza que, embora a abordagem exija conhecimento especializado para engenharia de características e modelagem de dados, ela oferece uma alternativa robusta e eficiente às soluções existentes complexas, pesadas em regras ou computacionalmente caras, facilitando a construção de CKGs de alta qualidade para defesa proativa.