TTPXHunter: Actionable Threat Intelligence Extraction as TTPs from Finished Cyber Threat Reports

了解对手的作业方式有助于组织采用有效的防御策略并在社区中共享情报。这种知识通常存在于威胁分析报告中的非结构化自然语言文本中。需要一种翻译工具来解释威胁报告句子中解释的作业方式并将其翻译成结构化格式。本研究介绍了一种名为TTPXHunter的方法，用于从完成的网络威胁报告中自动提取威胁情报，以战术、技术和程序（TTP）的形式。它利用网络领域特定的最先进的自然语言处理（NLP）来增强少数类别TTP的句子，并显着精炼在威胁分析报告中定位TTP。了解TTP的威胁情报对于全面了解网络威胁和增强检测和缓解策略至关重要。我们创建了两个数据集：一个包含39,296个样本的增强句子-TTP数据集和一个149个真实世界的网络威胁情报报告-TTP数据集。此外，我们在增强的句子数据集和网络威胁报告上评估了TTPXHunter。TTPXHunter在增强数据集上取得了92.42％的f1分数的最高性能，而在报告数据集上评估时，它的f1分数为97.09％，超过了现有最先进的TTP提取解决方案。TTPXHunter通过提供关于攻击者行为的快速可行洞察力，显着提高了网络安全威胁情报。这种进步自动化了威胁情报分析，为打击网络威胁的网络安全专业人员提供了重要的工具。

本论文旨在提出一种名为TTPXHunter的方法，通过自然语言处理技术从已完成的网络威胁报告中提取威胁情报中的战术、技术和程序（TTPs），以帮助组织更好地了解对手的作战方式，从而采取更有效的防御策略。

TTPXHunter利用领域特定的自然语言处理技术，通过增强少数类TTP的句子并显著改进在威胁分析报告中定位TTPs，自动提取TTPs，为网络安全专业人员提供快速的可操作的攻击者行为见解。

论文创建了两个数据集：一个增强的句子-TTP数据集和一个149个真实世界的网络威胁情报报告-TTP数据集。在增强数据集上，TTPXHunter取得了92.42%的f1-score，而在报告数据集上，TTPXHunter的f1-score为97.09%，优于现有的TTP提取解决方案。TTPXHunter的实验设计合理，使用了多个数据集，并提供了开源代码。

最近的相关研究包括：《使用深度学习进行网络威胁情报分析的研究》、《基于机器学习的网络威胁情报自动化分类方法研究》等。