[论文解读] What are the attackers doing now? Automating cyber threat intelligence extraction from text on pace with the changing threat landscape: A survey

Md Rayhanur Rahman, Rezvan Mahdavi-Hezaveh+1 more|arXiv (Cornell University)|Sep 14, 2021

Cybercrime and Law Enforcement Studies参考文献 91被引用 7

一句话总结

本综述提出了一套系统化框架，用于从非结构化文本中自动化提取网络威胁情报（CTI），利用自然语言处理（NLP）和机器学习技术识别出10种CTI提取目的和7种关键数据源，尤其是威胁报告、黑客论坛和社交媒体。研究将监督式和无监督式NLP技术确定为核心方法，并指出数据质量和可复现性方面的挑战，倡导构建可操作、可扩展且优先级明确的CTI流水线，以支持主动威胁防御。

ABSTRACT

Cybersecurity researchers have contributed to the automated extraction of CTI from textual sources, such as threat reports and online articles, where cyberattack strategies, procedures, and tools are described. The goal of this article is to aid cybersecurity researchers understand the current techniques used for cyberthreat intelligence extraction from text through a survey of relevant studies in the literature. We systematically collect "CTI extraction from text"-related studies from the literature and categorize the CTI extraction purposes. We propose a CTI extraction pipeline abstracted from these studies. We identify the data sources, techniques, and CTI sharing formats utilized in the context of the proposed pipeline. Our work finds ten types of extraction purposes, such as extraction indicators of compromise extraction, TTPs (tactics, techniques, procedures of attack), and cybersecurity keywords. We also identify seven types of textual sources for CTI extraction, and textual data obtained from hacker forums, threat reports, social media posts, and online news articles have been used by almost 90% of the studies. Natural language processing along with both supervised and unsupervised machine learning techniques such as named entity recognition, topic modelling, dependency parsing, supervised classification, and clustering are used for CTI extraction. We observe the technical challenges associated with these studies related to obtaining available clean, labelled data which could assure replication, validation, and further extension of the studies. As we find the studies focusing on CTI information extraction from text, we advocate for building upon the current CTI extraction work to help cybersecurity practitioners with proactive decision making such as threat prioritization, automated threat modelling to utilize knowledge from past cybersecurity incidents.

研究动机与目标

• 对现有自动化网络威胁情报（CTI）从文本源中提取的研究进行系统化和分类整理。
• 识别CTI提取研究中使用的主要目的、数据源、技术方法和共享格式。
• 提出一种通用的CTI提取流水线，以支持威胁情报研究中的可复现性和可扩展性。
• 解决技术挑战，如缺乏干净的标注数据以及模型在不同研究间的泛化能力有限。
• 引导未来研究朝向可操作、优先级明确且相互关联的CTI方向，以支持现实世界中的网络防御应用。

提出的方法

• 在六个学术数据库中开展系统性文献综述，收集了64项关于从文本中提取CTI的研究。
• 应用开放式编码和卡片分类技术对研究进行定性分析，对CTI提取目的和技术进行分类。
• 从综合研究中抽象出标准化的CTI提取流水线，包括数据摄入、NLP处理和CTI结构化三个阶段。
• 映射出10种不同的CTI提取目的（如IoC提取、TTPs、攻击模式提取等）和7种文本数据源（如威胁报告、社交媒体、暗网论坛等）。
• 识别出核心NLP和机器学习技术：命名实体识别（NER）、主题建模、依存句法分析、监督式分类、聚类和词嵌入。
• 评估已发表研究中代码和数据的可用性，以评估可复现性和研究可持续性。

实验结果

研究问题

• RQ1 当前研究中，从文本源提取网络威胁情报的主要目的是什么？
• RQ2 哪些文本数据源最常用于CTI提取，它们在实用性和可靠性方面有何差异？
• RQ3 在CTI提取中主要使用哪些NLP和机器学习技术，它们在性能和应用方面如何比较？
• RQ4 哪些技术挑战阻碍了CTI提取研究的可复现性和可扩展性？
• RQ5 未来CTI提取系统应如何设计，以支持可操作、优先级明确且相互关联的威胁情报，实现实时防御？

主要发现

• 研究识别出10种不同的CTI提取目的，其中CTI文本分类、攻击模式提取和网络安全关键词提取获得了最多的研究关注。
• 黑客论坛、威胁报告、社交媒体帖子和在线新闻文章占 surveyed 64项研究中所用文本数据源的近90%。
• 监督式和无监督式NLP技术——尤其是命名实体识别、主题建模和依存句法分析——是CTI提取中最广泛采用的方法。
• 仅有少数研究（如Niakanlahiji等人和Samtani等人）在其GitHub上公开了代码和标注数据集，凸显了可复现性方面的关键缺口。
• 大多数研究集中于单一数据集，限制了跨研究的相关性与可扩展性，凸显了需要整合多源、聚合型CTI的迫切需求。
• 未来研究应优先关注可操作的CTI，提升对不断演变的攻击策略的适应能力，并开发领域特定的语言模型（如sec2vec）以提高提取准确性。