CVE-TTP KG: Knowledge Graph Linking Software Vulnerabilities to Attack Behaviors

Resumo Técnico: CVE-TTP KG

Declaração do Problema
No cenário contemporâneo da cibersegurança, as vulnerabilidades de software evoluíram para ativos estratégicos instrumentalizados por agentes de ameaças. Embora repositórios como o Common Vulnerabilities and Exposures (CVE) e o National Vulnerability Database (NVD) forneçam identificadores estruturados e metadados técnicos, eles frequentemente carecem de contexto operacional. Especificamente, esses bancos de dados não vinculam inerentemente as vulnerabilidades aos comportamentos de atacantes, como táticas e técnicas, que são essenciais para compreender como as falhas são exploradas em cenários reais. Esse descompasso limita a capacidade das equipes de segurança de priorizar ameaças com base na intenção e capacidade do adversário. Com mais de 40.000 novos CVEs relatados apenas em 2024, a análise manual é insuficiente, necessitando de soluções automatizadas que possam correlacionar dados de vulnerabilidade com padrões comportamentais definidos em frameworks como o MITRE ATT&CK.

Metodologia
Os autores propõem o CVE-TTP Knowledge Graph (CVE-TTP KG), um framework projetado para vincular vulnerabilidades de software a comportamentos de atacantes (Táticas, Técnicas e Procedimentos). A arquitetura do sistema compreende quatro módulos primários:

1. Coleta e Enriquecimento de Dados:

   • Um conjunto de dados de 276.289 registros de CVE (1999–2025) foi agregado do NVD e da MITRE CVE List V5.
   • Um pipeline de mapeamento de múltiplos estágios (CVE → CWE → CAPEC → Técnica → Tática) foi utilizado para gerar rótulos de verdade fundamental (ground-truth) para 178.233 registros enriquecidos. Este processo vinculou vulnerabilidades a 95 técnicas ATT&CK e 14 categorias de táticas.
   • Para abordar as limitações de mapeamentos públicos esparsos, um modelo de classificação automatizado foi desenvolvido para prever táticas e técnicas diretamente das descrições textuais dos CVEs.

2. Classificação CVE-para-TTP:

   • Modelos baseados em Transformer foram ajustados (fine-tuned) para classificação multirrótulo.
   • Dois modelos pré-treinados específicos para cibersegurança foram avaliados: SecBERT e CySecBERT.
   • As instâncias de entrada combinaram o identificador CVE, a descrição textual e o identificador CWE associado.

3. Extração de Entidade e Relação (ERE):

   • Um conjunto de dados anotado manualmente de 1.080 descrições de CVE foi criado, contendo 24.820 entidades e 43.608 relações, alinhadas com o esquema STIX 2.0.
   • Duas estratégias de extração foram implementadas e comparadas:
     • Abordagem de Pipeline: Um processo de dois estágios usando uma arquitetura BERT–BiLSTM–CRF para Reconhecimento de Entidades de Cibersegurança (CER) seguido por um classificador baseado em BERT para Extração de Relação (RE).
     • Abordagem Conjunta (Joint): Um framework transformer baseado em spans (usando CySecBERT) que extrai simultaneamente entidades e relações, tratando os spans como candidatos para evitar a propagação de erros inerente aos métodos de pipeline.

4. Construção do Grafo de Conhecimento (Knowledge Graph):

   • As triplas extraídas ($<entidade, relação, entidade>$) foram populadas em um banco de dados de grafos Neo4j.
   • O grafo modela vulnerabilidades, produtos, fornecedores, fraquezas e TTPs como nós, conectados por arestas semânticas (ex: afeta, possui_fraqueza, alcançado_através_de, associado_a).

Principais Contribuições

• Datasets Inovadores: Os autores introduziram conjuntos de dados de classificação multirrótulo para táticas e técnicas ATT&CK, juntamente com um conjunto de dados anotado manualmente para extração de entidades e relações de vulnerabilidade.
• Framework de Classificação Automatizada: Implementação de um modelo baseado em Transformer para mapear automaticamente descrições de CVE para táticas e técnicas ATT&CK relevantes sem depender exclusivamente de mapeamento manual.
• Análise Comparativa de Extração: Desenvolvimento e avaliação de abordagens de aprendizado de pipeline e aprendizado conjunto para extrair entidades de cibersegurança e suas relações semânticas a partir de textos de vulnerabilidade.
• Grafo de Conhecimento Estruturado: Construção de um KG abrangente que integra dados de CVE com comportamento adversário, permitindo visualização estruturada e raciocínio de máquina para detecção de ameaças e priorização de riscos.

Resultados Experimentais

• Desempenho de Classificação:
  • CySecBERT superou consistentemente o SecBERT.
  • Classificação de Técnica: O CySecBERT alcançou um F1-score macro de 87,71% e um escore Jaccard de 0,9659.
  • Classificação de Tática: O CySecBERT alcançou um F1-score macro de 96,16% e um escore Jaccard de 0,9858.
• Desempenho de Extração de Entidade e Relação:
  • Abordagem de Pipeline: Alcançou um F1-score macro de extração de entidade de 0,86 e um F1-score de extração de relação de 0,99.
  • Abordagem Conjunta: Alcançou um F1-score macro de extração de entidade de 0,88 (micro-F1 0,9586) e um F1-score macro de extração de relação de 0,78 (sob restrições rigorosas de NEC).
• Geração de Grafo:
  • O Modelo Conjunto produziu um grafo semanticamente mais preciso, identificando corretamente relações complexas (ex: distinguindo "Denial of Service" como um tipo de impacto em vez de uma fraqueza) e reduzindo a propagação de erros.
  • O Modelo de Pipeline demonstrou alta precisão na extração de relações, mas sofreu com inconsistências semânticas, como substituir relações específicas de alcançado_através_de por links genéricos de associado_a e classificar incorretamente tipos de vulnerabilidade.

Significância e Alegações
O artigo afirma que o CVE-TTP KG aborda uma lacuna crítica na análise de vulnerabilidades ao modelar explicitamente as conexões entre CVEs e comportamentos de adversários. Os autores sustentam que esta abordagem permite:

• Compreensão Mais Profunda: Uma visão mais clara de padrões de exploração, objetivos de ameaça e cadeias de ataque.
• Melhoria da Consciência Situacional: Visualização estruturada para analistas humanos e raciocínio de máquina para detecção automatizada de ameaças.
• Escalabilidade: Um pipeline automatizado capaz de processar o volume crescente de divulgações de vulnerabilidades.

Os autores concluem que, embora o modelo conjunto ofereça maior robustez na extração de ponta a ponta, trabalhos futuros são necessários para integrar Grandes Modelos de Linguagem (LLMs) para melhorar ainda mais a qualidade da extração, especificamente abordando desafios em desambiguação de entidades e resolução de correferência.