Извлечение сущностей и отношений для графов знаний о киберугрозах

Продвинутые постоянные угрозы (APT) представляют собой сложную проблему в области кибербезопасности, поскольку они скрытно проникают в сети для ведения шпионажа, кражи данных и сохранения долгосрочного присутствия. Для противодействия этим угрозам специалисты по безопасности все чаще используют графы знаний о киберугрозах (CKG), которые обеспечивают масштабируемые решения для анализа и структурирования огромных объемов киберразведывательных данных (CTI), поступающих из различных источников в режиме реального времени, что позволяет автоматизировать проактивные меры безопасности. Создание CKG требует извлечения сущностей и отношений между ними из неструктурированных отчетов CTI. Однако существующие подходы сталкиваются с существенными ограничениями, включая трудности, связанные с особенностями языка кибербезопасности, разнообразием терминологии угроз и высокой частотой распространения ошибок, что приводит к низкой точности и слабой обобщаемости. В данной статье представлен новый конвейер построения графа знаний о киберугрозах (TiKG), разработанный для решения этих проблем. В основе TiKG лежит SecureBERT — предметно-ориентированная трансформерная модель, оптимизированная для задач кибербезопасности, — интегрированная с двунаправленной сетью долговременной краткосрочной памяти (BiLSTM) с механизмом внимания для учета контекста и нюансов текстов по безопасности, снижения распространения ошибок и повышения точности извлечения. Кроме того, конвейер включает предметно-ориентированную онтологию и модель вывода, обеспечивающие точное отображение отношений при их извлечении. Обширная оценка на трех крупномасштабных общедоступных наборах данных по киберразведке (DNRTI, STUCCO и CYNER), а также на специально сформированном наборе данных CTI демонстрирует эффективность предложенной системы и ее существенное превосходство над существующими методами в обнаружении и связывании киберугроз. Эти результаты создают надежную платформу, позволяющую специалистам по безопасности анализировать и прогнозировать потенциальные атаки, разрабатывать эффективные меры защиты и расширять стратегические возможности операций в сфере кибербезопасности.