TTPXHunter: Actionable Threat Intelligence Extraction as TTPs from Finished Cyber Threat Reports

了解对手的作业方式有助于组织采用高效的防御策略并在社区内共享情报。这种知识通常存在于威胁分析报告中的非结构化自然语言文本中。需要一种翻译工具来解释威胁报告句子中所述的作业方式并将其翻译成结构化格式。本研究介绍了一种名为TTPXHunter的方法，用于从完成的网络威胁报告中自动提取威胁情报，包括战术、技术和程序（TTPs）。它利用网络领域特定的最先进的自然语言处理（NLP）技术来增强少数类TTP的句子，并显著改进在威胁分析报告中定位TTP。了解威胁情报的TTP方面的知识对于全面了解网络威胁并增强检测和缓解策略至关重要。我们创建了两个数据集：一个包含39,296个样本的增强句子-TTP数据集和一个包含149个真实世界的网络威胁情报报告-TTP数据集。此外，我们对TTPXHunter在增强句子数据集和网络威胁报告上进行了评估。TTPXHunter在增强数据集上实现了92.42％的f1分数的最高性能，并且在报告数据集上评估时，它也优于现有最先进的TTP提取解决方案，实现了97.09％的f1分数。 TTPXHunter通过提供有关攻击者行为的快速可行见解，显著提高了网络安全威胁情报。这种进步自动化了威胁情报分析，为打击网络威胁的网络安全专业人员提供了关键工具。

本论文旨在提出一种名为TTPXHunter的方法，从已完成的网络威胁报告中自动提取威胁情报，以便更好地理解网络威胁并增强检测和缓解策略。

TTPXHunter利用网络领域特定的自然语言处理技术，将威胁报告中的自然语言文本转化为Tactics、Techniques、Procedures（TTPs）的结构化格式，并在少数类TTPs的句子上进行增强，从而显著提高了TTPs的定位精度。

论文创建了两个数据集：一个包含39,296个样本的增强句子-TTP数据集和一个包含149个真实世界网络威胁情报报告-TTP数据集。TTPXHunter在增强数据集和报告数据集上的表现都非常优秀，分别达到了92.42%和97.09%的f1-score。该方法自动化了威胁情报分析，为网络安全专业人员提供了重要的工具。

在相关研究方面，最近的研究包括《Network Threat Hunting Using Big Data Analytics: A Review》、《A Survey on Cyber Threat Intelligence Technologies and Applications》等。