TTPXHunter: Actionable Threat Intelligence Extraction as TTPs form Finished Cyber Threat Reports

了解对手的作业方式有助于组织采用有效的防御策略并在社区中共享情报。这种知识通常存在于威胁分析报告中的非结构化自然语言文本中。需要一种翻译工具来解释威胁报告句子中解释的作业方式并将其翻译成结构化格式。本研究介绍了一种名为TTPXHunter的方法，用于从完成的网络威胁报告中自动提取威胁情报，以战术、技术和程序（TTP）的形式。它利用针对网络领域的最新自然语言处理（NLP）来增强少数类TTP的句子，并显着改善在威胁分析报告中定位TTP。了解以TTP为形式的威胁情报对于全面了解网络威胁并增强检测和减轻策略至关重要。我们创建了两个数据集：一个包含39,296个样本的增强句子-TTP数据集和一个149个真实世界的网络威胁情报报告-TTP数据集。此外，我们在增强的句子数据集和网络威胁报告上评估了TTPXHunter。TTPXHunter在增强数据集上实现了最高的92.42%的f1分数，并且在报告数据集上评估时，其f1分数为97.09%，优于现有的TTP提取的最新解决方案。TTPXHunter通过提供有关攻击者行为的快速可行洞察力，显着提高了网络安全威胁情报。这种进步自动化了威胁情报分析，为打击网络威胁的网络安全专业人员提供了重要的工具。

本论文旨在解决从威胁分析报告中提取威胁情报的问题，特别是针对战术、技术和程序（TTP）的提取。这是否是一个新问题？

TTPXHunter是一种自动化的TTP提取方法，利用针对网络安全领域的自然语言处理技术对少数类TTP的句子进行增强，并显著改善了在威胁分析报告中定位TTP的精度。相比于现有的解决方案，TTPXHunter在TTP提取方面表现出更高的准确性和效率。

论文提出了TTPXHunter方法，并创建了一个增强的句子-TTP数据集和一个真实的威胁情报报告-TTP数据集。论文使用这些数据集对TTPXHunter进行评估，并证明了其在TTP提取方面的高效性和准确性。此外，TTPXHunter的自动化威胁情报分析可以为网络安全专业人员提供快速、可操作的攻击者行为洞察力。

最近在这个领域中，还有一些相关的研究，如《A Survey on Threat Intelligence Platforms》、《A Survey of Cyber Threat Intelligence Sharing》等。