An Automated Framework for Extracting Reachable Attack Chains from Cyber Threat Intelligence Reports
本文提出了一种自动化框架，该框架利用大语言模型从非结构化的网络威胁情报报告中提取带有前置条件和后置条件的结构化攻击单元，并将其编译为 Datalog 规则，以实现有效的可达性分析和多阶段攻击链推理。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象一下，互联网就像一座巨大且繁忙的城市，坏人不断试图潜入建筑物、偷取钥匙并解锁大门。为了阻止他们，安全专家编写了详细的故事，称为“网络威胁情报”报告。这些故事准确地描述了黑客是如何闯入的：“首先，他们发送了一封伪造的电子邮件。然后，受害者点击了一个链接。接着，病毒自动下载。”这就像是侦探的案情档案。但问题在于：这些故事是用凌乱的人类语言编写的。试图阅读它们的计算机很容易感到困惑。它无法轻易弄清楚为什么第二步会发生（它需要第一步完成后才能进行），或者在第二步之后系统发生了什么变化。这就像是试图仅用一堆杂乱无章的食谱卡片来组装一个可以工作的机器人；你知道食材，但你不知道顺序或因果关系。
为了解决这个问题，研究人员需要一种方法，将那些凌乱的故事转化为计算机可以实际运行的严格、逻辑化的蓝图。他们不仅需要知道黑客做了什么，还需要知道为了让黑客能做到这一点，必须满足哪些条件（“前提条件”），以及之后系统处于什么样的状态（“后置条件”）。把这想象成一个棋盘游戏：除非你掷出了正确的点数（条件），否则你不能将棋子移动到新格子上；而一旦你移动了，你的棋子就处于了一个新的位置（结果）。如果能将黑客的故事转化为一套完美的游戏规则，你就可以询问计算机：“黑客能否从前门到达金库？”并得到一个确定的答案。这就是这篇论文所解决的挑战：将模糊的间谍故事转化为精确、可玩的网络防御游戏。
这篇论文的作者构建了一个聪明的自动化框架来解决这个谜题。他们意识到，仅仅要求一个智能计算机程序（大语言模型）“阅读故事并给我规则”并不能很好地奏效。如果你只是要求它一次性处理整个过程，计算机往往会出错，比如搞混细节、弄错顺序，或者编造出并不存在的步骤。这就像要求一名学生一口气写完整篇论文；他们可能会忽略逻辑。相反，研究人员设计了一条多阶段的流水线。
首先，系统充当一名细心的编辑，从文本中提取出主要的“攻击动作”，例如“下载文件”或“绕过防火墙”。然后，它扮演一名侦探，搜寻解释为什么该动作是可能的以及接下来发生了什么的特定线索。但神奇之处在于：它并没有将这些线索保留为凌乱的句子。它强制将它们转化为一种严格的、标准化的代码，例如将“计算机可以连接互联网”翻译成一个特定的游戏标记（token），即 network.open。这至关重要，因为这让计算机能够检查这些“标记”是否完美匹配。如果第一个动作留下了一个“门开着”的标记，那么下一个动作只有在需要“门开着”标记时才能发生。
该系统甚至还有一个“质量控制”阶段。它通过运行模拟来查看这一系列动作链是否真的从头到尾连贯。如果它发现了一个断裂的环节——比如某个步骤需要一个从未被创建的“密码”标记——它会停止并尝试修复它，或者至少标记出错误。最后，它将所有这些干净、经过验证的步骤编译成一组逻辑规则（使用一种叫做 Datalog 的语言），以便计算机可以立即运行，从而查看特定的攻击目标是否可以实现。
当他们在包含 334 个具体步骤的 20 份真实世界网络攻击报告上进行测试时，结果令人印象深刻。他们的方法找到了 94.9% 的攻击步骤并进行了正确的格式化，击败了其他只能实现约 80% 或更低水平的现有工具。更重要的是，当他们让计算机对这些提取出的规则运行逻辑时，它在 20 份报告中的 19 份里成功推导出了如何达到黑客的目标。这证明了他们的“流水线”方法在将凌乱的人类故事转化为干净、可玩的游戏规则方面，比仅仅要求智能 AI 一次性猜测整个过程要好得多。他们不仅找到了步骤，还搭建了一座桥梁，让计算机能够真正理解攻击的逻辑，将静态的故事转变为动态的危险地图。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。