Контекстно-зависимый конвейер извлечения сущностей и отношений для графов знаний о киберугрозах

Графы знаний о кибербезопасности (CKG) интегрируют разнообразные источники разведывательной информации о киберугрозах (CTI) в структурированный формат, поддерживающий запросы, и обеспечивают масштабируемые решения для автоматизации проактивного реагирования на угрозы и реагирования в реальном времени. Это привело к их более широкому применению, повысив эффективность рабочих процессов и деятельности специалистов по безопасности. Однако построение CKG требует извлечения троек «сущность–отношение» из неструктурированных отчетов; этот процесс осложняется сложностью отчетов, специализированной терминологией кибербезопасности и языковой неоднозначностью. В результате существующие конвейерные подходы подвержены распространению ошибок, что приводит к низкой точности и слабой обобщаемости. В данной статье представлен фреймворк Context-aware Threat Intelligence Knowledge Graph (CTiKG), предназначенный для точной идентификации и классификации сущностей угроз и отношений между ними в отчетах CTI. CTiKG интегрирует гибридные модели обработки естественного языка (NLP), использующие эмбеддинги SecureBERT и экспертные знания, закодированные в онтологии, для контроля ошибок классификации и снижения их распространения, тем самым повышая точность извлечения. Оценка на расширенном наборе данных DNRTI-STIX2, включающем 21 категорию сущностей в соответствии со стандартами STIX 2.1, продемонстрировала превосходство модели над современными методами: прирост на 2–3% для распознавания именованных сущностей (NER) и до 5% для извлечения отношений (RE) по показателям точности, полноты и F1-меры. Дополнительная проверка на наборах данных DNRTI и STUCCO, а также практический пример применения в кибербезопасности подтвердили устойчивость фреймворка. Наборы данных DNRTI-STIX2 и отобранные наборы данных CTI доступны на GitHub для поддержки дальнейших исследований.