Operationalizing Cyber Threat Intelligence with GraphRAG
本文表明，利用 Microsoft GraphRAG 进行知识图谱检索而非标准的基于向量的 RAG，能够自动生成依赖于更持久、高层级指标的网络威胁检测方案，从而在面对攻击者规避技术时实现显著更高的检测持久性。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
=== 摘要 ===
想象一下，互联网就像一座巨大且繁忙的城市，坏人正不断试图潜入建筑物。当安全研究人员抓获这些小偷时，他们会编写一份报告，列出线索：小偷的鞋码、逃跑车辆的车牌号，以及他们使用的特定品牌开锁工具。在过去，安全团队只会把这些线索复制到“黑名单”中，然后听天由命。但问题在于：坏人动作很快。如果你封锁了一个车牌，他们一小时内就能租一辆新车。如果你封锁了一个鞋码，他们只需换一双鞋就行。这就像试图用投入河中的一颗石子来阻挡河流；水流只会绕过它继续流动。
为了解决这个问题，安全专家使用了一个叫做“痛苦之塔”（Pyramid of Pain）的概念。想象一个金字塔，底层的线索是容易改变的（如车牌），而顶层则是小偷真正的习惯和计划（例如他们是如何撬锁的，或者为什么选择那栋建筑）。改变习惯很难，需要数月时间；而改变车牌只需要几分钟。目标是构建针对金字塔顶端的防御措施。与此同时，一种新型的 AI 工具——“GraphRAG”出现了。你可以把标准的 AI 想象成一个学生，他阅读一本书并高亮显示那些看起来与问题相似的句子。而 GraphRAG 则像是一个学生，他先画出一张连接书中所有人物、地点和事件的地图，然后利用这张地图来寻找答案。本论文提出了一个简单的问题：如果我们使用“地图”而不是仅仅使用“高亮显示的句子”，我们的安全计划是否会更持久？
侦探的困境：地图 vs. 高亮器
当一家安全公司发布关于网络攻击的报告时，就像是交给侦探一本充满线索的厚重小说。侦探的任务是将这部小说转化为一套给警察部队（安全团队）的指令，以便抓捕坏人。通常，这是一个缓慢的手动过程。人类必须阅读全文，挑选出有用的部分，并为安全软件编写具体的规则。这需要耗费数天时间，而等到规则准备就绪时，坏人往往已经改变了他们的策略。
一些团队尝试使用 AI 来加速这一过程。他们将报告交给 AI，并要求其编写规则。该 AI 使用了一种常见的方法，称为“标准 RAG”。你可以将此理解为一个正在参加考试的学生，他只寻找教科书中与问题完全匹配的单词。如果问题问的是“红色的车”，这个学生就会找到提到“红色汽车”的那段文字并将其复制。问题在于，这种方法过于刻板。它专注于容易改变的线索（“红色的车”），却忽略了更深层的故事（即那个小偷只在周二才开红色的车）。由于坏人可以在一天之内将“红色的车”换成“蓝色的面包车”，AI 生成的规则很快就会失效。
GraphRAG 实验
IIT Bombay 的研究人员希望看看一种更聪明的 AI 方法是否可以解决这个问题。他们对比了处理相同安全报告的两种方式：
- 标准 RAG： 标准的“高亮器”方法，仅寻找相似的文本块。
- GraphRAG： 一种首先构建“知识图谱”的方法。想象一下，提取报告并绘制一张连接网：这个黑客 使用了 这个恶意软件 来攻击 这个服务器。它在尝试回答问题之前，先将各点连接起来。
他们将相同的报告输入这两种方法，并要求它们编写完全相同类型的威胁狩猎计划。然后，他们使用了一个特殊的“裁判” AI 来为这些计划评分。评分不仅仅是看 AI 写了多少条规则，而是看这些规则落在“痛苦之塔”的哪个位置。这些计划是依赖于易变的线索（金字塔底部），还是侧重于难以改变的行为（金字塔顶部）？
结果：地图胜出
结果非常明确，尽管有一个重要的区别。在对一个关于著名黑客组织（APT28）的具体报告进行深度分析时，研究人员测试了这些计划能持续多久。他们模拟了一个场景，即坏人更改了该报告中每一个易变的线索（IP 地址、文件名、域名）。
- 标准 RAG 计划（高亮器）仅在 29% 的检测中保持有效。它过度依赖于特定的、易变的线索。
- GraphRAG 计划（地图）在此特定案例研究中，在 100% 的检测中保持有效。因为它专注于关系和行为（金字塔的顶部），所以即使坏人把“红色的车”换成了“蓝色的面包车”，该计划依然有效。
当研究人员用来自四家不同安全厂商的九份不同报告重复这项测试时，模式依然成立：GraphRAG 计划始终能达到更高的金字塔层级，使其更难被攻击者规避。虽然 100% 的生存率是单次 APT28 案例研究中的突出表现，但更广泛的实验证实，即便在整体质量得分相似的情况下，GraphRAG 计划在针对持久、难以规避的线索方面也始终优于标准 RAG。
这意味着什么
论文指出，对于安全团队而言，若要自动将报告转化为有效的防御措施，他们需要停止仅仅“阅读”文本，转而开始“绘制”其中的连接关系。研究发现，AI 获取信息的方式（地图 vs. 高亮器）几乎与 AI 本身同样重要。虽然“高亮器”方法对于简单问题尚可，但“地图”方法才是构建那些不会在坏人换鞋后立即过期的狩猎计划的架构正确之选。
然而，作者也提到了几个小问题。有时，如果报告非常短，这种“地图”方法会产生困惑，无法找到足够的连接来构建一个好的计划。此外，AI 裁判在为长篇计划评分时有时会出现数学错误，研究人员不得不通过一些额外的代码来修复这个问题。但总体而言，证据表明，构建知识图谱是让 AI 生成真正具有持久性的安全规则的关键。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。