กรอบงาน LLM รูปแบบใหม่สามารถทำแผนที่ห่วงโซ่การโจมตีภัยคุกคามไซเบอร์ได้ใน 19 จาก 20 รายงาน

ทีมรักษาความปลอดภัยต้องเผชิญกับปัญหาที่แก้ยากมานาน: ข่าวกรองที่อธิบายวิธีการปฏิบัติการของผู้โจมตีได้ดีที่สุด — รายงาน ข่าวกรองภัยคุกคามไซเบอร์ (Cyber Threat Intelligence: CTI) ที่มีรายละเอียดและเล่าเรื่องอย่างเข้มข้น — อยู่ในรูปแบบที่คอมพิวเตอร์ไม่สามารถใช้ให้เหตุผลได้ง่าย กรอบการทำงานอัตโนมัติแบบใหม่ซึ่งอธิบายไว้ในงานวิจัยที่เผยแพร่บน arXiv มุ่งเป้าไปที่ช่องว่างนั้นโดยตรง ด้วยการแปลงเรื่องเล่าภัยคุกคามที่ไม่เป็นโครงสร้างให้กลายเป็น สายโซ่การโจมตีภัยคุกคามไซเบอร์ ที่เครื่องสามารถอ่านได้ และเอนจินให้เหตุผลเชิงตรรกะสามารถไล่ตามได้จริง

ประเด็นสำคัญ

• รายงาน CTI อธิบายการโจมตีในโลกจริงในรูปแบบการเล่าเรื่อง แต่ไม่สามารถนำมาใช้โดยตรงสำหรับการให้เหตุผลเส้นทางการโจมตีแบบอัตโนมัติได้
• กรอบการทำงานนี้จำลองแต่ละขั้นตอนการโจมตีเป็น หน่วยการโจมตี — ทริเปิลแบบมีโครงสร้างที่ประกอบด้วยเงื่อนไขก่อนหน้า พฤติกรรมการโจมตี และเงื่อนไขภายหลัง
• ไปป์ไลน์หลายขั้นตอนที่ขับเคลื่อนด้วยแบบจำลองภาษาขนาดใหญ่จะดึงข้อมูล ทำให้เป็นมาตรฐาน และซ่อมแซมหน่วยเหล่านี้จากข้อความ CTI ดิบ
• บนรายงาน CTI จำนวน 20 ฉบับที่มี 334 ขั้นตอนที่ผ่านการตรวจสอบโดยมนุษย์ การให้เหตุผลด้วย Datalog สามารถไปถึงเป้าหมายการโจมตีที่ระบุไว้ได้ใน 19 จาก 20 รายงาน และการค้นหาแบบย้อนกลับค้นพบ 34 เส้นทางการโจมตี
• กรอบการทำงานนี้ให้ผลดีกว่าทั้งระบบดึงข้อมูล CTI ตัวแทน และเบสไลน์ LLM แบบปลายทางถึงปลายทาง ในด้านความครอบคลุม ความสมบูรณ์ และความสอดคล้อง

ความท้าทายในการดึงความรู้เชิงโครงสร้างจากรายงาน CTI

รายงานข่าวกรองภัยคุกคาม เป็นเอกสารที่มีความหนาแน่นของข้อมูลสูงที่สุดประเภทหนึ่งในโลกไซเบอร์ซีเคียวริตี้ พวกมันบันทึกเครื่องมือของผู้โจมตี เทคนิคการเคลื่อนที่ด้านข้าง ลำดับการยกระดับสิทธิ์ และวัตถุประสงค์สุดท้าย — มักเขียนโดยนักวิเคราะห์ที่เห็นเหตุการณ์การเจาะระบบเกิดขึ้นแบบเรียลไทม์ แต่ความเข้มข้นนั้นก็มาพร้อมต้นทุน: ความรู้ถูกฝังอยู่ในร้อยแก้วอิสระ ไม่ใช่ข้อมูลเชิงโครงสร้าง

ลักษณะที่ไม่เป็นโครงสร้างนั้นทำให้ การดึง CTI แบบอัตโนมัติ ยากอย่างแท้จริง นักวิเคราะห์มนุษย์อ่านรายงานแล้ว สร้างไทม์ไลน์ในใจ ว่าเกิดอะไรขึ้น ระบบอัตโนมัติไม่มีทางลัดที่เทียบเท่า มันไม่สามารถอนุมานได้อย่างง่ายดายว่าขั้นตอนที่สามเป็นไปได้ก็เพราะขั้นตอนที่สองได้สร้างสถานะระบบแบบหนึ่งขึ้นมาก่อน

เครื่องมือดึงข้อมูลปัจจุบันพลาดอะไรไป

แนวทางส่วนใหญ่ที่มีอยู่สำหรับการดึง CTI มุ่งเน้นไปที่การดึงตัวชี้วัดการถูกบุกรุก — ที่อยู่ IP แฮชไฟล์ ชื่อโดเมน — หรือการแท็กยุทธวิธี เทคนิค และกระบวนการกับเฟรมเวิร์กอย่าง MITRE ATT&CK เอาต์พุตเหล่านี้มีประโยชน์ แต่โดยแก่นแล้วมันเป็นแบบแบน พวกมันบอกคุณว่าเกิดอะไรขึ้นโดยไม่เข้ารหัสว่า ทำไม การกระทำหนึ่งจึงเปิดทางให้การกระทำถัดไป

ข้อจำกัดหลักคือการขาดเงื่อนไขการดำเนินการ หากไม่รู้ว่าสถานะของระบบเป็นอย่างไรก่อนที่ผู้โจมตีจะรันคำสั่ง และเป็นอย่างไรหลังจากนั้น คุณก็ไม่สามารถเชื่อมโยงขั้นตอนต่าง ๆ เข้าด้วยกันเป็นเส้นทางการโจมตีที่สอดคล้องกันได้ การจับคู่สถานะและการวิเคราะห์การเข้าถึงได้ — การดำเนินการที่ช่วยให้ผู้ป้องกันถามได้ว่า “ผู้โจมตีสามารถไปถึงเป้าหมายนี้จากจุดเริ่มต้นนี้ได้จริงหรือไม่?” — ไม่ได้รับการรองรับจากการดึงข้อมูลระดับฉลาก

กรอบการทำงานอัตโนมัติที่เสนอสำหรับการดึงสายโซ่การโจมตี

งานวิจัยนี้นำเสนอกรอบการทำงานที่นิยามปัญหาการดึงข้อมูลใหม่รอบหน่วยวิเคราะห์ที่มีความสมบูรณ์ยิ่งขึ้น แทนที่จะดึงตัวชี้วัดเดี่ยว ๆ หรือฉลาก TTP มันจำลองแต่ละขั้นตอนของการโจมตีเป็น หน่วยการโจมตี: วัตถุเชิงโครงสร้างที่ประกอบด้วยเงื่อนไขก่อนหน้า พฤติกรรมการโจมตี และเงื่อนไขภายหลัง เงื่อนไขก่อนหน้าจับสิ่งที่ต้องเป็นจริงเกี่ยวกับสภาพแวดล้อมก่อนที่ขั้นตอนจะถูกรัน เงื่อนไขภายหลังจับสิ่งที่กลายเป็นจริงหลังจากนั้น เมื่อรวมกันแล้วจึงสามารถให้เหตุผลได้ว่าขั้นตอนหนึ่งสามารถป้อนเข้าสู่ขั้นตอนถัดไปได้หรือไม่

ไปป์ไลน์การดึงข้อมูลหลายขั้นตอนที่ได้รับความช่วยเหลือจากแบบจำลองภาษาขนาดใหญ่

การสร้าง หน่วยการโจมตี เหล่านี้จากข้อความดิบคือจุดที่ แบบจำลองภาษาขนาดใหญ่ เข้ามามีบทบาท — ไม่ใช่ในฐานะตัวสร้างแบบปลายทางถึงปลายทางตัวเดียว แต่ในฐานะองค์ประกอบในไปป์ไลน์ การวิเคราะห์การโจมตีหลายขั้นตอน ไปป์ไลน์ทำงานตามลำดับ: เริ่มจากดึงโครงร่างพฤติกรรมการโจมตีจากเรื่องเล่า CTI จากนั้นกู้คืนเงื่อนไขก่อนหน้าและเงื่อนไขภายหลังสำหรับแต่ละพฤติกรรม แล้วทำให้ทุกองค์ประกอบเป็นมาตรฐานเข้าสู่ชุดพรีดิเคตที่กำหนดไว้ล่วงหน้า และสุดท้ายซ่อมแซมการพึ่งพาที่เสียหายใด ๆ ที่จะทำให้สายโซ่ขาดตอน

ขั้นตอนการซ่อมแซมสุดท้ายนั้นมีนัยสำคัญเชิงวิเคราะห์ รายงาน CTI จริงไม่ได้เขียนเป็นข้อกำหนดทางวิศวกรรม ผู้เขียนละเว้นสมมติฐานที่พวกเขามองว่าเป็นเรื่องชัดเจน ข้ามขั้นตอนกลาง หรืออธิบายผลลัพธ์โดยไม่ระบุสาเหตุ ระบบที่ไม่ซ่อมแซมช่องว่างเหล่านี้อย่างแข็งขันจะสร้าง สายโซ่การโจมตี ที่เต็มไปด้วยช่องโหว่เชิงตรรกะ — ลำดับที่ดูเหมือนสมบูรณ์ภายนอกแต่ไม่สามารถไล่ตามได้จริง ขั้นตอนการซ่อมแซมนี้จัดการกับปัญหานี้โดยตรง

ผลลัพธ์ของไปป์ไลน์เต็มรูปแบบคือชุดของหน่วยการโจมตีที่ถูกทำให้เป็นมาตรฐานและสอดคล้องกันภายใน — พร้อมที่จะส่งต่อให้เอนจินให้เหตุผล แทนที่จะถูกเพียงแค่จัดทำรายการ

การให้เหตุผลเชิงตรรกะและผลการประเมิน

เมื่อดึงออกมาแล้ว หน่วยการโจมตีจะถูกคอมไพล์เป็น กฎสไตล์ Datalog Datalog เป็นภาษาการเขียนโปรแกรมเชิงตรรกะที่เหมาะกับการสอบถามการเข้าถึงได้: เมื่อให้ชุดของแฟ็กต์และกฎ ระบบสามารถอนุมานได้หรือไม่ว่าสถานะเป้าหมายที่ระบุสามารถเข้าถึงได้? การจัดกรอบสายโซ่การโจมตีในลักษณะนี้เปลี่ยนปัญหาการดึงความรู้ให้กลายเป็นปัญหาการให้เหตุผลเชิงรูปแบบ — ซึ่งมีเกณฑ์ความสำเร็จที่ชัดเจน

การคอมไพล์เป็นกฎสไตล์ Datalog สำหรับการวิเคราะห์การเข้าถึงได้

แต่ละหน่วยการโจมตีกลายเป็นกฎ: หากเงื่อนไขก่อนหน้าถูกต้อง เงื่อนไขภายหลังก็จะตามมา การเชื่อมกฎเหล่านี้เข้าด้วยกันช่วยให้เอนจินให้เหตุผลสามารถถามได้ว่า วัตถุประสงค์การโจมตีเฉพาะ — เช่น การยึดโดเมนทั้งหมด — สามารถเข้าถึงได้จากจุดยึดเริ่มต้นหรือไม่ เมื่อพิจารณาจากพฤติกรรมที่อธิบายไว้ในรายงาน CTI นี่เป็นความสามารถที่แตกต่างอย่างมีนัยสำคัญจากการรู้ว่า TTP ใดถูกสังเกต มันคือความแตกต่างระหว่างรายการส่วนผสมกับสูตรอาหารที่มีผลลัพธ์ผ่านการยืนยันแล้ว

ประสิทธิภาพบนรายงาน CTI ที่มีคำอธิบายประกอบ

ชุดข้อมูลประเมินผลประกอบด้วย รายงาน CTI 20 ฉบับ ที่มี 334 ขั้นตอนที่มีคำอธิบายประกอบและผ่านการตรวจสอบโดยมนุษย์ ทั่วทั้งชุดข้อมูลนั้น กรอบการทำงานบรรลุความครอบคลุมของขั้นตอนที่มีคำอธิบายประกอบสูงกว่าระบบดึง CTI ตัวแทน — หมายความว่ามันกู้คืนพฤติกรรมการโจมตีได้มากกว่าสิ่งที่นักวิเคราะห์มนุษย์ระบุว่าเป็นสาระสำคัญ

เอนจินให้เหตุผล Datalog ไปถึงเป้าหมายการโจมตีที่ระบุไว้ใน 19 จาก 20 รายงาน การค้นหาแบบย้อนกลับบนชุดกฎที่สร้างขึ้นให้ผลเป็นเส้นทางการโจมตีที่แตกต่างกัน 34 เส้นทาง ตัวเลขสุดท้ายนั้นสำคัญ: การค้นพบหลายเส้นทางไปยังเป้าหมายเดียวกันเผยให้เห็นความซ้ำซ้อนในกลยุทธ์ของผู้โจมตี และให้ภาพที่สมบูรณ์ยิ่งขึ้นแก่ผู้ป้องกันว่าพวกเขาต้องอุดช่องโหว่ตรงไหนบ้าง

ข้อได้เปรียบเชิงเปรียบเทียบเหนือเบสไลน์ LLM แบบปลายทางถึงปลายทาง

เมื่อเปรียบเทียบกับเบสไลน์แบบจำลองภาษาขนาดใหญ่แบบปลายทางถึงปลายทาง — ที่ซึ่งโมเดลตัวเดียวถูกพรอมต์ให้สร้างหน่วยการโจมตีเต็มรูปแบบในครั้งเดียว — ไปป์ไลน์แบบมีโครงสร้างสร้างหน่วยการโจมตีที่มีความสมบูรณ์และสอดคล้องมากกว่าอย่างวัดได้ การสร้างแบบปลายทางถึงปลายทางมักสร้าง เอาต์พุตที่ดูน่าเชื่อถือ แต่กลับละเว้นเงื่อนไขก่อนหน้าหรือสร้างเงื่อนไขภายหลังที่ขัดแย้งกับขั้นตอนก่อนหน้า วิธีการแบบแบ่งขั้นตอน ตรงกันข้าม บังคับให้แต่ละองค์ประกอบต้องถูกดึงและทำให้เป็นมาตรฐานแยกกันก่อนจะประกอบเข้าด้วยกัน ซึ่งช่วยลดการลื่นไถลและการตกหล่น

นี่คือข้อคิดเชิงระเบียบวิธีที่ลึกซึ้งซึ่งฝังอยู่ในงานวิจัย แบบจำลองภาษาขนาดใหญ่เป็นตัวดึงความหมายจากข้อความที่ไม่เป็นโครงสร้างที่ทรงพลัง แต่ไม่ใช่นักออกแบบสถาปัตยกรรมเชิงตรรกะที่เชื่อถือได้เมื่อปล่อยให้ทำงานตามลำพัง การห่อหุ้มพวกมันไว้ในไปป์ไลน์ที่มีวินัย — ที่ซึ่งแต่ละขั้นตอนมีงานเฉพาะที่มีขอบเขตจำกัด — ดูเหมือนจะช่วยกู้คืนความสอดคล้องที่การสร้างแบบไร้ข้อจำกัดทำให้สูญเสียไป

เหตุใดสิ่งนี้จึงสำคัญต่อข่าวกรองภัยคุกคามและการป้องกัน

นัยเชิงปฏิบัติคือ ผู้ป้องกันสามารถในหลักการป้อนรายงาน CTI ที่เผยแพร่ใหม่เข้าสู่ระบบเช่นนี้ และได้รับไม่เพียงแค่สรุปพฤติกรรมของผู้โจมตี แต่ยังได้คำตอบที่ผ่านการตรวจสอบโดยเครื่องต่อคำถามที่ว่า: เมื่อให้ลำดับเทคนิคที่รายงานนี้ ผู้โจมตีสามารถไปถึงทรัพย์สินล้ำค่าที่สุดของเราได้จากจุดเข้าใดจุดหนึ่งหรือไม่? การวิเคราะห์การเข้าถึงเป้าหมายการโจมตีลักษณะนี้ในอดีตต้องอาศัยนักวิเคราะห์ที่มีทักษะทำด้วยมือ — กระบวนการที่ช้า มีค่าใช้จ่ายสูง และไม่สามารถขยายให้รองรับปริมาณข่าวกรองภัยคุกคามที่องค์กรได้รับได้

ยังมีสัญญาณที่กว้างกว่านี้เกี่ยวกับบทบาทของการให้เหตุผลเชิงโครงสร้างในความปลอดภัยที่ได้รับความช่วยเหลือจาก AI เมื่อองค์กรผสานแบบจำลองภาษาขนาดใหญ่เข้ากับการปฏิบัติการด้านความปลอดภัยของตน แรงจูงใจคือการมองพวกมันเป็นตัวแก้ปัญหาสารพัด งานวิจัยนี้ชี้ให้เห็นภาพที่ละเอียดกว่านั้น: LLM ที่จับคู่กับเอนจินให้เหตุผลเชิงรูปแบบอาจทรงพลังยิ่งกว่าการใช้แต่ละอย่างเพียงลำพัง เพราะพวกมันชดเชยจุดอ่อนของกันและกัน ซอร์สโค้ดและสิ่งประดิษฐ์จากการทดลองมีให้ใช้งานในรีโพสิทอรีแบบไม่ระบุตัวตน เปิดโอกาสให้มีการตรวจสอบและขยายผลโดยอิสระ

คำถามที่พบบ่อย

เหตุใดการดึงสายโซ่การโจมตีจากรายงาน CTI จึงเป็นเรื่องท้าทาย?

รายงาน CTI เป็นเรื่องเล่าที่ไม่เป็นโครงสร้างซึ่งอธิบายการโจมตีในโลกจริง ทำให้ยากต่อการทำให้การให้เหตุผลเส้นทางการโจมตีเป็นแบบอัตโนมัติ ร้อยแก้วมักละเว้นสมมติฐาน ข้ามขั้นตอนกลาง และไม่เข้ารหัสสถานะของระบบที่กำหนดได้ว่าขั้นตอนการโจมตีหนึ่งสามารถตามด้วยอีกขั้นตอนได้หรือไม่

กรอบการทำงานที่เสนอนี้ปรับปรุงเหนือวิธีการดึง CTI ที่มีอยู่ได้อย่างไร?

มันจำลองแต่ละขั้นตอนการโจมตีด้วยเงื่อนไขก่อนหน้า พฤติกรรม และเงื่อนไขภายหลัง และใช้ไปป์ไลน์แบบจำลองภาษาหลายขั้นตอนเพื่อดึงและทำให้ส่วนประกอบเหล่านี้เป็นมาตรฐาน — รวมถึงขั้นตอนการซ่อมแซมที่อุดช่องว่างของการพึ่งพาที่เสียหาย สิ่งนี้ทำให้สามารถจับคู่สถานะและให้เหตุผลด้านการเข้าถึงได้ ซึ่งวิธีการดึงข้อมูลระดับฉลากไม่สามารถรองรับได้

Datalog inference มีบทบาทอย่างไรในกรอบการทำงานนี้?

หน่วยการโจมตีที่ดึงมาได้จะถูกคอมไพล์เป็นกฎสไตล์ Datalog ทำให้ระบบสามารถให้เหตุผลด้านการเข้าถึงได้และระบุเส้นทางการโจมตีที่นำไปสู่เป้าหมายที่ระบุ การทำเช่นนี้เปลี่ยนความรู้ที่ดึงมาให้กลายเป็นข้ออ้างที่ตรวจสอบได้อย่างเป็นทางการเกี่ยวกับสิ่งที่ผู้โจมตีสามารถทำได้

ประสิทธิภาพของกรอบการทำงานนี้ถูกประเมินอย่างไร?

บนรายงาน CTI จำนวน 20 ฉบับที่มี 334 ขั้นตอนที่มีคำอธิบายประกอบและผ่านการตรวจสอบโดยมนุษย์ กรอบการทำงานนี้บรรลุความครอบคลุมสูงกว่าระบบดึง CTI ตัวแทน และสร้างหน่วยการโจมตีที่สมบูรณ์กว่าระบบ LLM แบบปลายทางถึงปลายทาง การวิเคราะห์การเข้าถึงได้ด้วย Datalog ประสบความสำเร็จใน 19 จาก 20 รายงาน และการค้นหาแบบย้อนกลับระบุเส้นทางการโจมตีที่แตกต่างกัน 34 เส้นทาง

{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”เหตุใดการดึงสายโซ่การโจมตีจากรายงาน CTI จึงเป็นเรื่องท้าทาย?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”รายงาน CTI เป็นเรื่องเล่าที่ไม่เป็นโครงสร้างซึ่งอธิบายการโจมตีในโลกจริง ทำให้ยากต่อการทำให้การให้เหตุผลเส้นทางการโจมตีเป็นแบบอัตโนมัติ ร้อยแก้วมักละเว้นสมมติฐาน ข้ามขั้นตอนกลาง และไม่เข้ารหัสสถานะของระบบที่กำหนดได้ว่าขั้นตอนการโจมตีหนึ่งสามารถตามด้วยอีกขั้นตอนได้หรือไม่”}},{“@type”:”Question”,”name”:”กรอบการทำงานที่เสนอนี้ปรับปรุงเหนือวิธีการดึง CTI ที่มีอยู่ได้อย่างไร?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”มันจำลองแต่ละขั้นตอนการโจมตีด้วยเงื่อนไขก่อนหน้า พฤติกรรม และเงื่อนไขภายหลัง และใช้ไปป์ไลน์แบบจำลองภาษาหลายขั้นตอนเพื่อดึงและทำให้ส่วนประกอบเหล่านี้เป็นมาตรฐาน — รวมถึงขั้นตอนการซ่อมแซมที่อุดช่องว่างของการพึ่งพาที่เสียหาย สิ่งนี้ทำให้สามารถจับคู่สถานะและให้เหตุผลด้านการเข้าถึงได้ ซึ่งวิธีการดึงข้อมูลระดับฉลากไม่สามารถรองรับได้”}},{“@type”:”Question”,”name”:”Datalog inference มีบทบาทอย่างไรในกรอบการทำงานนี้?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”หน่วยการโจมตีที่ดึงมาได้จะถูกคอมไพล์เป็นกฎสไตล์ Datalog ทำให้ระบบสามารถให้เหตุผลด้านการเข้าถึงได้และระบุเส้นทางการโจมตีที่นำไปสู่เป้าหมายที่ระบุ การทำเช่นนี้เปลี่ยนความรู้ที่ดึงมาให้กลายเป็นข้ออ้างที่ตรวจสอบได้อย่างเป็นทางการเกี่ยวกับสิ่งที่ผู้โจมตีสามารถทำได้”}},{“@type”:”Question”,”name”:”ประสิทธิภาพของกรอบการทำงานนี้ถูกประเมินอย่างไร?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”บนรายงาน CTI จำนวน 20 ฉบับที่มี 334 ขั้นตอนที่มีคำอธิบายประกอบและผ่านการตรวจสอบโดยมนุษย์ กรอบการทำงานนี้บรรลุความครอบคลุมสูงกว่าระบบดึง CTI ตัวแทน และสร้างหน่วยการโจมตีที่สมบูรณ์กว่าระบบ LLM แบบปลายทางถึงปลายทาง การวิเคราะห์การเข้าถึงได้ด้วย Datalog ประสบความสำเร็จใน 19 จาก 20 รายงาน และการค้นหาแบบย้อนกลับระบุเส้นทางการโจมตีที่แตกต่างกัน 34 เส้นทาง”}}]}

บทความนี้จัดทำขึ้นด้วยความช่วยเหลือของปัญญาประดิษฐ์และผ่านการทบทวนโดยทีมบรรณาธิการ