La crescente complessità delle catene di attacchi informatici richiede un approccio innovativo per l’estrazione e l’analisi automatizzata delle minacce. Un nuovo framework automatizzato promette di migliorare significativamente l’efficacia di questa estrazione, utilizzando modelli di linguaggio di grandi dimensioni e inferenze logiche per affrontare le sfide poste dai report di Cyber Threat Intelligence (CTI) non strutturati.
Summary
Sfide nell’estrazione di conoscenza strutturata dai report CTI
I report di Cyber Threat Intelligence descrivono dettagliatamente i processi di attacco del mondo reale, ma la loro natura non strutturata rende difficile il ragionamento automatizzato sul percorso degli attacchi. I metodi di estrazione attuali si concentrano su indicatori, entità o etichette TTP, ma trascurano la modellazione delle condizioni di esecuzione e degli stati risultanti di ciascun passaggio di attacco.
Questa mancanza di modellazione delle condizioni e degli stati di esecuzione limita la capacità di adattare le conoscenze estratte per l’analisi della raggiungibilità lungo catene di attacchi multi-fase. La necessità di una maggiore comprensione e struttura nei dati CTI è evidente per migliorare la resilienza delle difese informatiche.
Il framework automatizzato proposto per l’estrazione delle catene di attacco
Il nuovo framework propone di modellare ogni passaggio di attacco come un’unità d’attacco, includendo precondizioni, comportamento d’attacco e postcondizioni. Questa strutturazione permette di estrarre catene di attacchi raggiungibili con maggiore precisione.
Una pipeline di estrazione multi-fase, assistita da modelli di linguaggio di grandi dimensioni, estrae e normalizza i componenti del comportamento d’attacco. Questo processo recupera le precondizioni e le postcondizioni, normalizzandole in predicati predefiniti e riparando le dipendenze interrotte. Tali unità estratte sono poi compilate in regole in stile Datalog per il ragionamento sulla raggiungibilità dell’obiettivo d’attacco.
Ragionamento logico e risultati della valutazione
Il framework dimostra una copertura più ampia degli step annotati rispetto ai sistemi di estrazione CTI rappresentativi, mostrando un miglioramento significativo nella comprensione dei comportamenti di attacco. Su un set di 20 report CTI con 334 passaggi annotati validati umanamente, il framework ha raggiunto una copertura maggiore rispetto ai sistemi esistenti.
Utilizzando l’inferenza Datalog, l’approccio è riuscito a raggiungere l’obiettivo d’attacco specificato in 19 dei 20 report analizzati. Inoltre, una ricerca retroattiva ha generato 34 percorsi di attacco sotto le regole generate, dimostrando la capacità del framework di individuare percorsi d’attacco complessi e articolati.
Vantaggi rispetto a modelli LLM end-to-end
Il framework non solo copre una gamma più ampia di passaggi di attacco, ma produce anche unità d’attacco più complete e coerenti rispetto ai modelli di linguaggio di grandi dimensioni end-to-end. Questa maggiore completezza e coerenza deriva dalla generazione esplicita di precondizioni e postcondizioni, permettendo un quadro più robusto e dettagliato dei percorsi d’attacco.
FAQ
Perché è difficile estrarre catene di attacco dai report CTI?
I report CTI sono narrazioni non strutturate che descrivono attacchi reali, il che rende difficile automatizzare il ragionamento sui percorsi d’attacco.
Come migliora il framework proposto rispetto ai metodi di estrazione CTI esistenti?
Modella ogni passaggio di attacco con precondizioni, comportamento e postcondizioni e utilizza una pipeline di modelli di linguaggio multi-fase per estrarre e normalizzare questi componenti, abilitando il ragionamento sulla raggiungibilità.
Qual è il ruolo dell’inferenza Datalog in questo framework?
Le unità d’attacco estratte sono compilate in regole in stile Datalog, consentendo al sistema di eseguire il ragionamento sulla raggiungibilità e trovare percorsi di attacco che conducono a obiettivi specificati.
Come è stata valutata la performance del framework?
Su 20 report CTI con 334 passaggi annotati, il framework ha raggiunto una copertura maggiore e ha prodotto unità d’attacco più complete rispetto ai modelli di linguaggio end-to-end; l’analisi della raggiungibilità è riuscita in 19 report.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
