Resumo Técnico: CATBridge – Aprimorando o Alinhamento CVE-ATT&CK em Ambientes de Baixos Recursos

1. Declaração do Problema

O alinhamento de Vulnerabilidades e Exposições Comuns (CVE) com o framework MITRE ATT&CK é crítico para a defesa ativa, mas enfrenta desafios significativos em ambientes de baixos recursos, caracterizados por baixo poder computacional e escassez de amostras rotuladas de alta qualidade.

Abordagens existentes enquadram-se em três categorias, cada uma com distinções e limitações:

• Aprendizado de Máquina (ML) e Aprendizado Profundo (DL): Embora ofereçam alta precisão de detecção, esses métodos lutam para capturar associações semânticas profundas entre descrições específicas de vulnerabilidades (ex: "buffer overflow") e táticas de ataque em nível macro (ex: "privilege escalation"). Eles frequentemente dependem de características textuais superficiais ou exigem conjuntos de dados rotulados massivos e recursos computacionais.
• Modelos de Linguagem de Grande Escala (LLMs) baseados em Prompt: Modelos como GPT-5 ou DeepSeek-R1 possuem forte compreensão semântica, mas sofrem com altos custos computacionais, baixa eficiência de inferência e preocupações com privacidade de dados, tornando-os impraticáveis para implantação em configurações de recursos limitados.
• LLMs de Pequena Escala com Ajuste Fino (Fine-tuned): Embora sejam computacionalmente eficientes e implantáveis, modelos pequenos (ex: 7B parâmetros) carecem de conhecimento de domínio em cibersegurança suficiente. Eles têm dificuldade em compreender padrões de ataque complexos, levando a um desempenho insatisfatório em dados de cauda longa (long-tail) e dificuldade em distinguir entre técnicas similares.

O artigo identifica três desafios específicos no uso de LLMs para esta tarefa em ambientes de baixos recursos:

1. Distribuição de Cauda Longa (Long-tail Distribution): Os dados de CVE são desequilibrados, com técnicas ATT&CK raras carecendo de amostras de treinamento suficientes. O conhecimento extraído de modelos grandes tende a ser enviesado para amostras de classes de cabeça (head-class).
2. Lacuna Semântica (Semantic Gap): Existe uma desconexão entre os detalhes técnicos das CVEs e os objetivos táticos do ATT&CK. Modelos pequenos falham em compreender o raciocínio implícito necessário para conectar a "exploração de vulnerabilidade" à "intenção do atacante".
3. Similaridade Técnica: Muitas técnicas do ATT&CK compartilham semânticas funcionais de superfície (ex: execução de código), mas diferem fundamentalmente em intenção tática. Modelos grandes podem enfatizar excessivamente funções compartilhadas, falhando em fornecer a lógica discriminativa necessária para que modelos pequenos aprendam fronteiras de decisão claras.

2. Metodologia: O Framework CATBridge

Os autores propõem o CATBridge, um framework de aprimoramento de conhecimento em múltiplos estágios que estabelece um mecanismo de colaboração "professor-aluno". Um LLM de grande escala (Professor) atua como um especialista de domínio para guiar um LLM de pequena escala e leve (Aluno) através de três estágios progressivos.

Estágio 1: Aprimoramento de Dados Direcionado

Para abordar o problema da distribuição de cauda longa (C1), o framework utiliza engenharia de prompt refinada para guiar o modelo Professor na síntese de amostras de CVE de alta qualidade para categorias de técnicas ATT&CK escassas.

• Mecanismo: O Professor assume o papel de um "Especialista em Modelagem de Vulnerabilidades de Cibersegurança". Ele recebe um ID de técnica alvo e amostras semente de CVE, e então gera descrições de CVE logicamente coerentes e semanticamente padronizadas especificamente para técnicas sub-representadas.
• Objetivo: Aliviar a escassez de amostras sem distorcer as semânticas comportamentais fundamentais, expandindo efetivamente os dados de treinamento para classes de cauda longa.

Estágio 2: Aprimoramento de Conhecimento de Domínio

Para preencher a lacuna semântica (C2), o framework constrói um Grafo de Conhecimento de Vulnerabilidade para criar uma cadeia lógica do CVE ao ATT&CK.

• Construção do Grafo de Conhecimento: O Professor extrai conhecimento estruturado de domínio (CWE para fraquezas, CAPEC para padrões de ataque) das amostras de CVE aprimoradas. Entidades (Vulnerabilidade, Fraqueza, Padrão de Ataque, Tática/Técnica) e relações (hasWeakness, exploitedBy, mapsToTechnique) são organizadas em um grafo.
• Extração da Cadeia de Conhecimento: Um algoritmo percorre o grafo para extrair cadeias completas: CVE → CWE → CAPEC → ATT&CK.
• Treinamento do Aluno: Essas cadeias são serializadas em contextos textuais explícitos e incorporadas aos dados de treinamento do modelo Aluno via Ajuste Fino Supervisionado (SFT). Isso permite que o Aluno aprenda as relações lógicas entre fontes diretamente, em vez de depender de caminhos de raciocínio opacos.

Estágio 3: Aprimoramento de Conhecimento de Raciocínio

Para tratar a similaridade técnica e melhorar a discriminação (C3), o framework utiliza técnicas de Cadeia de Pensamento (Chain-of-Thought - CoT).

• Geração de Abstração Discriminativa: Para pares de técnicas ATT&CK similares que o Aluno tem dificuldade em distinguir, o Professor gera resumos estruturados analisando três dimensões baseadas no Cyber Kill Chain:
  1. Precondição: Estado do sistema ou permissões de acesso necessárias.
  2. Ações Principais: Operações atômicas fundamentais executadas.
  3. Resultados Alcançados: Resultados e impactos em nível tático.
• Treinamento do Aluno: O Aluno passa por um segundo estágio de SFT onde as instâncias de treinamento pareiam amostras de CVE com esses abstracts discriminativos gerados pelo Professor. Isso transfere a lógica de raciocínio explícita, permitindo que o Aluno aprenda fronteiras de decisão claras entre técnicas confundíveis.

3. Principais Contribuições

• Aquisição de Conhecimento Impulsionada por LLM: O artigo introduz um pipeline "professor-aluno" que extrai conhecimento profissional de LLMs de grande escala para realizar o ajuste fino de LLMs de pequena escala. Isso aborda o compromisso entre o alto custo dos modelos grandes e a escassez de conhecimento dos modelos pequenos em ambientes de baixos recursos.
• Aprimoramento de Conhecimento em Múltiplos Estágios: O framework propõe um processo inovador de três estágios (Dados Direcionados, Conhecimento de Domínio e Conhecimento de Raciocínio) que complementa o ajuste fino padrão, melhorando significativamente a precisão do alinhamento.
• Desempenho em Ambientes de Baixos Recursos: O estudo demonstra que um modelo leve de 7B, aprimorado por este framework, pode superar tanto os métodos tradicionais de SOTA quanto os modelos de propósito geral de zero-shot (ex: GPT-5, DeepSeek-R1 671B) em configurações de recursos limitados.

4. Resultados Experimentais

O framework foi avaliado no conjunto de teste ChatGPT-VDMEval (7.013 amostras) usando um modelo aluno Qwen2.5-7B-instruct.

• Desempenho Geral: O CATBridge alcançou uma acurácia de 83,50%, uma precisão de 90,98%, um recall de 93,01% e um F1-score de 85,55%.
• Ganhos Comparativos:
  • vs. SOTA: Uma melhoria absoluta de 33,29 pontos percentuais sobre o melhor baseline (GuardLink, 50,21%).
  • vs. Grandes Modelos Zero-shot: Uma melhoria média de 46,24 pontos percentuais sobre modelos grandes de propósito geral zero-shot (GPT-5, DeepSeek-R1, Qwen3).
  • vs. Baseline de Ajuste Fino: Uma melhoria de 41,15 pontos percentuais sobre o mesmo modelo aluno treinado com SFT padrão sem o pipeline de aprimoramento (42,35% vs. 83,50%).
• Estudo de Ablação: Os resultados confirmaram que cada estágio contribuiu com ganhos distintos. O Aprimoramento de Conhecimento de Domínio proporcionou o maior salto de estágio único (+16,28 pp de acurácia), enquanto o Aprimoramento de Conhecimento de Raciocínio refinou ainda mais o desempenho (+11,04 pp).
• Cenários Few-Shot e Zero-Shot:
  • Em cenários few-shot (14 técnicas de cauda longa), o framework melhorou a acurácia de 25,33% para 90,94%.
  • Em cenários zero-shot (8 técnicas não vistas), a acurácia melhorou de 0,96% para 75,73%, demonstrando fortes capacidades de generalização.
• Compatibilidade de Modelo: O framework mostrou desempenho robusto em diferentes modelos alunos (Mistral-7B, Llama3-8B, Gemma2-9B, Qwen2.5-7B), indicando que não depende de uma arquitetura específica.

5. Significância e Alegações

O artigo afirma que o CATBridge está entre os primeiros trabalhos a introduzir um pipeline de aprimoramento de conhecimento professor-aluno em múltiplos estágios especificamente para o alinhamento CVE-ATT&CK, indo além dos anteriores ajustes finos de estágio único ou abordagens de templates encadeados.

Sua principal significância reside em:

1. Eficiência de Recursos: Reduz significativamente a dependência de dados rotulados de grande escala e recursos computacionais massivos, permitindo a correlação de conhecimento de ameaças confiável em ambientes de recursos limitados.
2. Implantação Prática: Permite a implantação de modelos leves (7B) que alcançam níveis de desempenho comparáveis ou superiores a modelos muito maiores e zero-shot, tornando a governança automatizada de vulnerabilidades viável para organizações com infraestrutura limitada.
3. Avanço Metodológico: Ao transferir explicitamente a lógica de raciocínio e as cadeias de conhecimento de domínio, em vez de apenas os rótulos finais, o framework aborda a natureza de "caixa preta" do raciocínio de LLMs, fornecendo um caminho estruturado para que modelos pequenos aprendam mapeamentos semânticos complexos.

Os autores reconhecem limitações, observando que os dados de pré-treinamento do modelo professor podem conter alguns registros de CVE (potencial contaminação de dados), embora argumentem que os ganhos derivam da transferência de conhecimento estruturado e não da memorização. Eles também notam limitações atuais na interpretabilidade da saída e propõem trabalhos futuros sobre visualização de atenção para auxiliar analistas de segurança.