From Sands to Mansions: Enabling Automatic Full-Life-Cycle Cyberattack Construction with LLM

网络安全中攻击者和防御者之间的升级战斗使得从攻击者的角度测试和评估防御能力变得至关重要。然而，构建完整生命周期的网络攻击并执行红队仿真需要安全专家投入大量时间和领域知识。现有的网络攻击仿真框架面临着诸如技术覆盖范围有限、无法进行完整生命周期的攻击以及需要手动构建基础设施等挑战。这些限制影响了构建攻击的质量和多样性。本文利用大型语言模型（LLMs）的能力，总结现有攻击情报的知识并基于人类知识生成可执行的机器代码。我们提出了AURORA，一种自动化端到端网络攻击构建和仿真框架。AURORA可以自主构建基于网络威胁情报（CTI）报告的多阶段网络攻击计划，构建仿真基础设施并执行攻击程序。我们还开发了一个攻击程序知识图谱，以整合来自各种来源的高级网络攻击的完整生命周期中的攻击技术知识。我们基于现有的CTI报告构建和评估了20多个完整生命周期的网络攻击。与以前的攻击仿真框架相比，AURORA可以在几分钟内构建多步攻击和基础设施，无需人工干预。此外，AURORA以比专业红队更高效的方式将更广泛（多40%）的攻击技术整合到构建的攻击中。为了进一步研究，我们开源了包含20个仿真网络攻击的执行文件和基础设施的数据集。

构建全生命周期的网络攻击需要大量的时间和专业知识，现有的网络攻击模拟框架存在技术覆盖范围有限、无法进行全生命周期攻击以及需要手动构建基础设施等问题，这些限制影响了构建攻击的质量和多样性。

本文提出了AURORA，一种自动化的网络攻击构建和仿真框架，利用大型语言模型（LLMs）总结现有攻击情报的知识并生成可执行的机器代码。

AURORA可以根据网络威胁情报报告自主构建多阶段网络攻击计划，构建仿真基础设施，并执行攻击程序。作者还开发了攻击程序知识图谱，以整合来自各种来源的关于高级网络攻击的攻击技术知识。作者构建和评估了20多个基于现有网络威胁情报报告的全生命周期网络攻击。相比之前的攻击模拟框架，AURORA可以在几分钟内构建多步骤攻击和基础设施，而无需人工干预。此外，AURORA比专业的红队更高效地将更广泛（多40％）的攻击技术纳入构建的攻击中。作者还开源了包含20个仿真网络攻击的执行文件和基础设施的数据集。

最近的相关研究包括：1.《CyberAttackGym：一个开源的强化学习环境，用于评估网络安全防御机制》；2.《攻击图表生成：从安全需求到攻击图表》；3.《使用深度学习技术的网络安全威胁检测：研究现状和未来方向》等。