[论文解读] An Automated, End-to-End Framework for Modeling Attacks From Vulnerability Descriptions

Hodaya Binyamini, Ron Bitton+4 more|arXiv (Cornell University)|Aug 10, 2020

Information and Cyber Security参考文献 45被引用 9

一句话总结

本文提出了一种端到端、全自动的框架，通过自然语言处理（NLP）和机器学习模型的流水线，从非结构化的漏洞描述中提取攻击实体、补全缺失的漏洞信息，并生成与MulVAL兼容的交互规则。该框架在实体提取和规则生成方面表现出高准确性，实现了无需人工干预的可扩展、实时更新的攻击图建模。

ABSTRACT

Attack graphs are one of the main techniques used to automate the risk assessment process. In order to derive a relevant attack graph, up-to-date information on known attack techniques should be represented as interaction rules. Designing and creating new interaction rules is not a trivial task and currently performed manually by security experts. However, since the number of new security vulnerabilities and attack techniques continuously and rapidly grows, there is a need to frequently update the rule set of attack graph tools with new attack techniques to ensure that the set of interaction rules is always up-to-date. We present a novel, end-to-end, automated framework for modeling new attack techniques from textual description of a security vulnerability. Given a description of a security vulnerability, the proposed framework first extracts the relevant attack entities required to model the attack, completes missing information on the vulnerability, and derives a new interaction rule that models the attack; this new rule is integrated within MulVAL attack graph tool. The proposed framework implements a novel pipeline that includes a dedicated cybersecurity linguistic model trained on the the NVD repository, a recurrent neural network model used for attack entity extraction, a logistic regression model used for completing the missing information, and a novel machine learning-based approach for automatically modeling the attacks as MulVAL's interaction rule. We evaluated the performance of each of the individual algorithms, as well as the complete framework and demonstrated its effectiveness.

研究动机与目标

• 解决像MulVAL这样的攻击图工具中手动维护交互规则所面临的可扩展性挑战。
• 从非结构化的CVE描述中自动提取与攻击相关的实体（例如，前提条件、后果）。
• 利用机器学习技术补全漏洞描述中缺失的信息。
• 从文本形式的漏洞报告中生成准确、可执行的MulVAL交互规则。
• 通过动态更新攻击图规则集以集成新漏洞，实现持续、自动化的风险评估。

提出的方法

• 在NVD漏洞库上训练领域特定的网络安全语言模型，以提升对安全术语的自然语言理解能力。
• 使用双向LSTM（RNN）模型从漏洞描述中提取11种预定义的攻击相关实体类型。
• 应用逻辑回归模型，基于上下文特征推断并补全缺失的攻击信息（例如，攻击向量、影响）。
• 开发一种新型基于机器学习的方法，将提取的实体映射为正式的MulVAL交互规则，包括正确的变量绑定和谓词结构。
• 将完整流水线集成到MulVAL攻击图生成框架中，实现端到端的攻击面建模。
• 利用无监督学习和迁移学习技术，减少对人工标注数据的依赖，并提升在各类漏洞上的泛化能力。

实验结果

研究问题

• RQ1 是否能够通过完全自动化的流水线，以高精度从未结构化的漏洞描述中提取有意义的攻击实体？
• RQ2 利用机器学习技术，能在多大程度上准确推断漏洞描述中缺失的信息？
• RQ3 提取的实体是否能够被可靠地映射为与MulVAL攻击图框架兼容的正式、可执行交互规则？
• RQ4 与现有规则生成方法相比，所提出框架在精确率、召回率和规则正确性方面的性能如何？
• RQ5 该框架是否能够实现持续处理新漏洞，确保攻击面建模的实时更新？

主要发现

• 所提出的框架在攻击实体提取方面实现了高精确率和高召回率，优于通用NLP工具及基于通用英文语料库训练的先前模型。
• 用于缺失信息补全的逻辑回归模型相比基线方法有显著改进，尤其在处理部分或模糊的漏洞描述时表现更优。
• 端到端流水线成功从原始CVE描述中生成了有效且可执行的MulVAL交互规则，实现了自动化攻击图构建。
• 与在通用文本上预训练的模型相比，该框架所采用的领域特定语言模型显著提升了实体识别的准确性。
• 评估结果表明，该框架可实现可扩展、自动化的部署，显著降低了对安全专家手动创建规则的依赖。
• 作者指出，生成的规则需要引入置信度评分，建议未来工作量化规则的可靠性，以支持风险评估决策。