Context-aware Entity-Relation Extraction for Threat Intelligence Knowledge Graphs

Resumo Técnico: Extração de Entidade-Relação Consciente de Contexto para Grafos de Conhecimento de Inteligência de Ameaças (CTiKG)

Declaração do Problema
A construção de Grafos de Conhecimento de Cibersegurança (CKGs) é essencial para unificar diversas fontes de Inteligência de Ameaças Cibernéticas (CTI) em formatos estruturados e consultáveis que suportem defesa proativa e análise em tempo real. No entanto, a automação desse processo é dificultada pela natureza não estruturada dos relatórios de CTI, que apresentam narrativas complexas, jargão específico de domínio e ambiguidade semântica. As abordagens existentes geralmente se enquadram em duas categorias: Extração Conjunta (JE) e Extração em Pipeline (PE). Embora os modelos JE integrem Reconhecimento de Entidades Nomeadas (NER) e Extração de Relações (RE) para reduzir a propagação de erros, eles frequentemente sofrem com confusão de características, dificuldades com relações sobrepostas e inflexibilidade na otimização modular. Por outro lado, as abordagens PE permitem design modular, mas são vulneráveis à propagação de erros, onde imprecisões no reconhecimento de entidades se propagam para a classificação de relações, degradando a qualidade geral do grafo de conhecimento. Além disso, iterações anteriores de frameworks de pipeline (como o trabalho anterior dos autores, TiKG) dependiam de modelos de linguagem genéricos ou classificadores (por exemplo, TDD-softmax) que produziam sequências de rotulagem inconsistentes e tinham dificuldades com terminologia específica de cibersegurança.

Metodologia
O artigo apresenta o framework Grafo de Conhecimento de Inteligência de Ameaças Consciente de Contexto (CTiKG), uma arquitetura de pipeline projetada para abordar as limitações de modelos anteriores por meio de três fases distintas:

1. Coleta e Processamento de Dados: Relatórios são coletados de repositórios (por exemplo, MITRE ATT&CK, repositórios APT) e convertidos em texto simples. O pré-processamento inclui sanitização (por exemplo, ofuscação de URLs/e-mails) para simular entradas brutas.
2. Extração de Entidade-Relação: Esta fase central emprega dois módulos especializados:
   • Reconhecimento de Entidades (NER): Os autores propõem uma arquitetura SecureBERT+-BiGRU-CRF. Este modelo substitui o classificador TDD-softmax anterior por uma camada de Campo Aleatório Condicional (CRF) para impor transições válidas de tags BIO e melhorar a consistência ao nível da sequência. Utiliza SecureBERT+, uma variante adaptada ao domínio do BERT, para gerar embeddings contextuais, que são então processados por uma Unidade Recorrente com Portas Bidirecional (BiGRU) para capturar dependências de tokens antes que a camada CRF realize a classificação ao nível do token.
   • Extração de Relações (RE): Reconhecendo que os tipos de relação são independentes e carecem de dependências sequenciais, os autores utilizam uma arquitetura SecureBERT+-BiGRU-TDD (Densa Distribuída no Tempo). Este modelo substitui a camada CRF por uma camada TDD para simplificar a arquitetura e permitir inferência mais rápida. Crucialmente, esta fase integra uma ontologia específica de domínio (inspirada na UCO 2.0) para guiar a classificação de pares de entidades. A ontologia define 15 tipos de relação específicos (por exemplo, affiliatedWith, targets, hasVulnerability) e é usada para filtrar pares de entidades inválidos, mitigando assim a classificação errônea.
3. Construção e Análise: As triplas extraídas são armazenadas no Neo4j, onde as entidades servem como nós e as relações como arestas, permitindo recuperação e análise do grafo construído baseada em consultas.

Principais Contribuições

• Arquitetura NER Inovadora: A introdução de um modelo SecureBERT+-BiGRU-CRF que alcança até 4% de melhoria no escore F1 em 21 categorias de entidades, resolvendo os problemas de rotulagem inconsistente de classificadores anteriores baseados em softmax.
• Arquitetura RE Aprimorada: Um novo modelo SecureBERT+-BiGRU-TDD que integra embeddings contextuais específicos de domínio com controle de erros baseado em ontologia, resultando em até 8% de melhoria no escore F1 para extração de relações.
• Aumento e Liberação de Conjunto de Dados: A criação e liberação do DNRTI-AUG-STIX2, um conjunto de dados aumentado derivado do DNRTI-STIX2. Isso envolveu anotação manual de 1.367 sentenças adicionais por especialistas em segurança para abordar o desequilíbrio severo de classes e a consolidação de tipos de entidades raras (por exemplo, mesclando SHA1, SHA2, MD5 em um único tipo HASH). O conjunto de dados inclui 21 tipos de entidades alinhados com STIX 2.1.
• Avaliação Abrangente: Avaliação extensiva no conjunto de dados DNRTI-AUG-STIX2, com validação adicional nos benchmarks DNRTI e STUCCO, demonstrando a robustez e generalizabilidade do framework.

Resultados Experimentais
O framework CTiKG proposto foi avaliado contra baselines de última geração (incluindo BiLSTM-CRF, RoBERTa e variantes anteriores do TiKG) usando métricas de Precisão, Revocação e Escore F1:

• Desempenho NER: O modelo SecureBERT+-BiGRU-CRF alcançou um escore F1 de 0,93 no DNRTI-AUG-STIX2, 0,94 no DNRTI e 0,98 no STUCCO. Isso representa um ganho de 3–4% sobre as baselines anteriores. Os resultados indicam que, embora o SecureBERT+ tenha mostrado melhorias significativas na modelagem de linguagem mascarada, os principais ganhos no NER foram impulsionados pela capacidade da camada CRF de modelar dependências sequenciais.
• Desempenho RE: O modelo SecureBERT+-BiGRU-TDD alcançou um escore F1 de 0,98 no DNRTI-AUG-STIX2, superando o módulo RE anterior do TiKG em 6–8% em todas as métricas. O estudo observou que as camadas CRF não ofereceram benefício mensurável sobre o TDD para extração de relações, justificando a arquitetura simplificada.
• Generalização: O modelo demonstrou alto desempenho consistente em diversos conjuntos de dados, incluindo o conjunto de dados focado em vulnerabilidades STUCCO, atribuído a padrões linguísticos consistentes nas descrições de vulnerabilidades e à adaptação de domínio do modelo.

Significado e Alegações
O artigo afirma que o CTiKG estabelece um framework robusto e consciente de segurança para análise de ameaças, perfilagem e desenvolvimento de estratégias de defesa. Ao desacoplar NER e RE enquanto aproveita embeddings específicos de domínio e restrições ontológicas, o framework mitiga efetivamente a propagação de erros inerente às abordagens de pipeline tradicionais. Os autores enfatizam que a integração do SecureBERT+ e da ontologia de domínio melhora significativamente a precisão e a generalizabilidade dos CKGs, permitindo uma transformação mais precisa de relatórios de CTI não estruturados em inteligência estruturada. A liberação dos conjuntos de dados curados e do código no GitHub é destacada como uma contribuição chave para fomentar a reprodutibilidade e pesquisas futuras no campo. O trabalho é apresentado como uma extensão do framework TiKG, abordando especificamente suas limitações no tratamento de conjuntos de dados complexos e jargão específico de cibersegurança.