Resumo Técnico: Um Framework Automatizado para Extração de Cadeias de Ataque Alcançáveis a partir de Relatórios de Inteligência de Ameaças Cibernéticas

Problema

Os relatórios de Inteligência de Ameaças Cibernéticas (CTI) contêm narrativas ricas e detalhadas de processos de ataque do mundo real, variando desde o comprometimento inicial até os objetivos finais. No entanto, esses relatórios são escritos em linguagem natural não estruturada, misturando ações de ataque, evidências contextuais e detalhes técnicos ao longo de parágrafos. Embora analistas humanos possam reconstruir mentalmente as cadeias de ataque, sistemas automatizados têm dificuldade em transformar essas narrativas em uma representação adequada para o raciocínio formal.

Os métodos atuais de extração de CTI sofrem de duas limitações primárias:

1. Lacuna de Representação: Os métodos existentes focam na extração de Indicadores de Comprometimento (IOCs), rótulos planos do MITRE ATT&CK ou grafos de entidade-relação. Esses outputs carecem de pré-condições explícitas (o estado necessário para executar um passo) e pós-condições (o estado de segurança resultante). Consequentemente, o conhecimento extraído é descritivo em vez de executável; ele não pode suportar correspondência de estado, verificação de dependência ou análise de alcançabilidade de objetivo de ataque.
2. Lacuna de Extração: Uma abordagem ingênua de solicitar a Modelos de Linguagem de Grande Escala (LLMs) que gerem cadeções completas de pré-condição-comportamento-pós-condição de ponta a ponta é pouco confiável. Tal geração frequentemente produz condições em linguagem natural aberta (dificultando o raciocínio simbólico), perde dependências implícitas espalhadas pelo texto, sofre de granularidade inconsistente e carece de mecanismos para verificar se os passos gerados formam uma derivação conectada e executável.

Metodologia

O artigo propõe um framework multiestágio assistido por LLM projetado para preencher a lacuna entre as narrativas de CTI não estruturadas e o raciocínio de ataque baseado em lógica formal. O framework opera em duas fases: Construção de Repositório de Unidades de Ataque CTI-para-Ataque e Raciocínio de Caminho de Ataque Baseado em Repositório.

1. Representação de Unidade de Ataque

A inovação central é modelar cada passo de ataque como uma Unidade de Ataque:
$$u_j = \langle Pre_j, Act_j, Post_j \rangle$$

• Pré-condições ($Pre_j$): Estados ambientais, ações do usuário ou estados de ataque anteriores necessários antes da execução.
• Comportamento de Ataque ($Act_j$): A ação central (ex: download, execução).
• Pós-condições ($Post_j$): Os novos estados de segurança produzidos após a execução.

Essas unidades são compiladas em regras do tipo Datalog, onde as pré-condições formam o corpo da regra e as pós-condições formam o cabeçalho da regra, permitindo que motores de inferência lógica (como o MulVAL) determinem a alcançabilidade.

2. O Pipeline de Extração

Para abordar a lacuna de extração, o framework substitui a geração de passagem única por um pipeline controlado de múltiplos estágios:

• Extração de Esqueleto de Comportamento: O framework identifica uma sequência ordenada de comportamentos de ataque. Para garantir consistência de granularidade, utiliza um Vocabulário de Comportamento (derivado do MITRE ATT&CK e semânticas comuns de CTI) para classificar ações (ex: user_action, download, execute), evitando sobrecompressão ou fragmentação excessiva.
• Extração de Pré/Pós-condição: Uma estratégia de canal duplo é empregada. Um canal local foca em evidências textuais imediatas e passos vizinhos, enquanto um canal global analisa o relatório completo para capturar dependências de longo alcance. Os outputs de ambos os canais são fundidos para gerar condições candidatas.
• Normalização de Predicados: Condições em linguagem natural são mapeadas para um Vocabulário de Predicados pré-definido (seguindo semânticas do estilo MulVAL). Isso converte o texto livre em estados simbólicos (ex: host.vuln_present(host, CVE)), garantindo que as pós-condições de uma unidade possam exatamente corresponder às pré-condições de outra.
• Reparo Guiado por Diagnóstico: Um LLM inspeciona a cadeia normalizada para identificar inconsistências, como pré-condições não suportadas (estados não produzidos por passos anteriores ou fatos iniciais), predicados incompatíveis ou ramos incorretamente mesclados. O sistema repara estritamente apenas os problemas sinalizados para manter a fidelidade ao relatório de origem.
• Geração de Regras e Raciocínio: As unidades normalizadas são convertidas em regras Datalog. Um algoritmo de encadeamento para frente determina se um objetivo de ataque é alcançável a partir de um conjunto de fatos iniciais ($F_0$), e a busca para trás recupera os caminhos de ataque específicos.

Principais Contribuições

1. Representação Pronta para Raciocínio: O artigo introduz uma representação que modela passos de ataque como transições de estado executáveis ($Pre \to Act \to Post$) em vez de registros descritivos. Isso permite correspondência de estado e verificação de dependência, o que era impossível com as extrações de CTI padrão.
2. Framework de Extração Confiável: Ao decompor a tarefa de extração em estágios controláveis (extração de esqueleto, recuperação de condição, normalização e reparo), o framework supera a falta de confiabilidade da geração end-to-end de LLMs. Ele estabiliza a granularidade dos passos e impõe consistência de dependência.
3. Ponte do Texto para a Lógica Formal: O framework gera automaticamente as regras Datalog que tradicionalmente exigem escrita manual por especialistas, permitindo que analisadores de grafos de ataque lógicos utilizem relatórios de CTI narrativos diretamente.
4. Validação Empírica: A abordagem é avaliada em 20 relatórios de CTI contendo 334 passos anotados por humanos, demonstrando desempenho superior em cobertura de passos e prontidão de raciocínio em comparação com sistemas existentes.

Resultados Experimentais

O framework foi avaliado contra três sistemas de extração de CTI representativos (AttacKG+, CRUcialG, e CTINEXUS) e variantes de ablação internas.

• Cobertura de Passos de Ataque: O framework proposto alcançou uma média macro de 94,9% de Cobertura de Passos nos 334 passos anotados, superando significativamente o CTINEXUS (82,2%), AttacKG+ (81,1%) e CRUcialG (42,6%). Ele cobriu totalmente 300 passos, cobriu parcialmente 32 e perdeu apenas 2.
• Precisão de Predicado: O framework alcançou um F1 score médio de Predicado de 80,9% (Precisão: 85,3%, Recall: 77,8%) nos 20 relatórios. Isso indica alta precisão na recuperação tanto das condições necessárias para execução quanto dos estados de segurança resultantes.
• Sucesso de Raciocínio: Nas cadeias extraídas, a inferência Datalog alcançou com sucesso o objetivo de ataque especificado em 19 de 20 relatórios. A busca para trás recuperou um total de 34 caminhos de ataque.
• Estudo de Ablação: Remover o pipeline multiestágio em favor da geração end-to-end (usando GPT-4.1 ou GPT-5.2) resultou em uma queda drástica de desempenho (o F1 médio caiu de 94,5% para ~50%), confirmando que a abordagem em estágios com restrições de vocabulário e mecanismos de reparo é crítica para a precisão.

Significância e Alegações

O artigo alega que sua principal significância reside na transformação de narrativas de CTI não estruturadas em conhecimento estruturado e executável. Ao modelar explicitamente pré-condições e pós-condições, o framework permite que sistemas automatizados realizem análise de alcançabilidade e raciocínio de caminho de ataque — tarefas que anteriormente eram limitadas à análise manual ou exigiam regras criadas manualmente.

Os autores enfatizam que, embora o framework consiga fazer a ponte entre relatórios narrativos e raciocínio formal, ele não é uma solução perfeita. As limitações incluem:

• Dependência de vocabulários projetados por especialistas.
• Desafios em distinguir suposições ambientais estáticas (ex: conectividade de rede existente) de estados de ataque produzidos dinamicamente.
• Dificuldades ocasionais em lidar com relatórios que agregam múltiplos contextos de campanha distintos em uma única narrativa.

Em última análise, o trabalho fornece um método prático para converter CTI de linguagem natural em um formato que suporte o raciocínio de segurança automatizado, indo além da simples extração de entidades em direção à análise de caminho de ataque acionável.