[论文解读] Research Directions in Cyber Threat Intelligence

Stjepan Groš|arXiv (Cornell University)|Jan 18, 2020

Advanced Malware Detection Techniques参考文献 11被引用 4

一句话总结

本文通过借鉴情报融合、态势感知和知识管理等成熟领域的既定方法论，提出加速网络威胁情报（CTI）研究。通过将CTI流程映射至这些经过时间检验的领域，本研究识别出可操作的研究方向，实现跨学科知识与框架的复用，从而加快、更高效地推进威胁情报的开发。

ABSTRACT

Cyber threat intelligence is a relatively new field that has grown from two distinct fields, cyber security and intelligence. As such, it draws knowledge from and mixes the two fields. Yet, looking into current scientific research on cyber threat intelligence research, it is relatively scarce, which opens up a lot of opportunities. In this paper we define what cyber threat intelligence is, briefly review some aspects for cyber threat intelligence. Then, we analyze existing research fields that are much older that cyber threat intelligence but related to it. This opens up an opportunity to draw knowledge and methods from those older field, and in that way advance cyber threat intelligence much faster than it would by following its own path. With such an approach we effectively give a research directions for CTI.

研究动机与目标

• 为应对网络威胁情报（CTI）研究尚处初期的现状，识别出可复用的、成熟研究领域及其可迁移的方法论。
• 通过复用相关学科中经验证的框架，而非从零开始构建新框架，以缩短CTI研究的推进时间。
• 通过将CTI与情报融合、知识管理及认知计算等长期确立的领域对齐，为CTI提供结构化的研究路线图。
• 通过整合态势感知与不确定性推理的原理，提升CTI的决策支持能力。
• 通过将CTI流程映射至现有且研究充分的领域，建立共享的概念基础，以激发跨学科创新。

提出的方法

• 识别CTI的核心组成部分——数据采集、信息融合、知识生成与决策支持，并将其映射至成熟研究领域中的对应流程。
• 将情报融合（DIF）作为基础框架，用于整合异构的网络威胁数据，形成可操作的洞察。
• 应用态势感知（SAW）理论，对网络威胁的感知、理解与预测进行实时建模。
• 整合知识管理（KM）原则，以结构化方式存储、共享并长期保留组织间及跨时间的CTI知识。
• 借鉴认知计算与决策理论，对不确定性环境下的推理进行建模，提升威胁预测的准确性。
• 通过对比分析，将CTI流程与情报与系统工程领域中的成熟模型（如OODA循环、瀑布模型与综合模型）对齐。

实验结果

研究问题

• RQ1 如何利用情报融合与知识管理等成熟研究领域来加速网络威胁情报的开发？
• RQ2 网络威胁情报与商业情报、竞争情报等传统情报领域之间存在哪些共性？
• RQ3 态势感知框架在动态环境中如何提升对网络威胁的感知与预测能力？
• RQ4 不确定性管理与决策理论如何提升CTI输出的可靠性与可操作性？
• RQ5 哪些来自成熟领域的具体方法论可被适配，以解决当前CTI在数据集成、知识表示与实际应用方面的局限？

主要发现

• 网络威胁情报目前仍处于早期发展阶段，基础研究有限，为跨学科知识转移提供了强劲机遇。
• 情报融合（DIF）为整合多源网络威胁数据并形成连贯、可操作的情报提供了成熟框架，可直接应用于CTI流程。
• 态势感知模型为感知、理解与预测网络威胁提供了经验证的结构，与CTI实现威胁预判的目标高度契合。
• 知识管理实践显著增强了CTI能力，支持组织间系统性地捕获、共享与保留专家威胁知识。
• 认知计算与不确定性推理技术可提升CTI处理模糊或不完整威胁数据的能力，从而提高决策支持质量。
• 将决策理论、本体工程与大数据分析等成熟领域整合，为推动CTI超越当前战术性、技术性焦点提供了切实可行的路径。