As equipes de segurança há muito enfrentam um problema persistente: a inteligência que melhor descreve como os invasores operam — relatórios detalhados e ricos em narrativa de Inteligência de Ameaças Cibernéticas (CTI) — existe em uma forma sobre a qual os computadores não conseguem raciocinar facilmente. Um novo framework automatizado, detalhado em um artigo de pesquisa publicado no arXiv, mira diretamente essa lacuna ao transformar narrativas de ameaças não estruturadas em cadeias de ataque cibernético legíveis por máquina que um mecanismo de inferência lógica pode de fato percorrer.
Summary
Principais pontos
- Relatórios de CTI descrevem ataques do mundo real em forma narrativa, mas não podem ser usados diretamente para raciocínio automatizado sobre caminhos de ataque.
- O framework modela cada etapa do ataque como uma unidade de ataque — um triplo estruturado de pré-condições, comportamento de ataque e pós-condições.
- Um pipeline em múltiplos estágios, alimentado por grandes modelos de linguagem, extrai, normaliza e repara essas unidades a partir do texto bruto de CTI.
- Em 20 relatórios de CTI contendo 334 etapas validadas por humanos, a inferência em Datalog alcançou com sucesso o objetivo de ataque especificado em 19 de 20 relatórios, e a busca reversa revelou 34 caminhos de ataque.
- O framework supera tanto sistemas representativos de extração de CTI quanto baselines de LLM de ponta a ponta em cobertura, completude e consistência.
Desafios na Extração de Conhecimento Estruturado de Relatórios de CTI
Relatórios de inteligência de ameaças estão entre os documentos mais densos em informação na cibersegurança. Eles capturam ferramentas usadas por invasores, técnicas de movimento lateral, sequências de escalonamento de privilégios e objetivos finais — muitas vezes escritos por analistas que testemunharam uma violação se desenrolar em tempo real. Mas essa riqueza tem um custo: o conhecimento está enterrado em prosa livre, não em dados estruturados.
Essa natureza não estruturada torna a extração automatizada de CTI realmente difícil. Um analista humano lê um relatório e constrói mentalmente uma linha do tempo do que aconteceu. Um sistema automatizado não tem um atalho equivalente. Ele não pode inferir trivialmente que a terceira etapa só se tornou possível porque a segunda estabeleceu um determinado estado do sistema.
O que as ferramentas de extração atuais deixam passar
A maioria das abordagens existentes para extração de CTI se concentra em extrair indicadores de comprometimento — endereços IP, hashes de arquivos, nomes de domínio — ou em rotular táticas, técnicas e procedimentos em relação a frameworks como o MITRE ATT&CK. Esses resultados são úteis, mas são essencialmente planos. Eles dizem o que aconteceu sem codificar por que uma ação permitiu a próxima.
A limitação central é a ausência de condições de execução. Sem saber em que estado o sistema estava antes de um invasor executar um comando, e em que estado ele ficou depois, não é possível encadear etapas em um caminho de ataque coerente. Correspondência de estados e análise de alcançabilidade — as operações que permitiriam a um defensor perguntar “o invasor realmente consegue alcançar este objetivo a partir deste ponto de partida?” — simplesmente não são suportadas por extração em nível de rótulo.
O Framework Automatizado Proposto para Extração de Cadeias de Ataque
A pesquisa introduz um framework que reformula o problema de extração em torno de uma unidade de análise mais rica. Em vez de extrair indicadores individuais ou rótulos de TTP, ele modela cada etapa de um ataque como uma unidade de ataque: um objeto estruturado composto por pré-condições, um comportamento de ataque e pós-condições. As pré-condições capturam o que deve ser verdadeiro sobre o ambiente antes que a etapa seja executada. As pós-condições capturam o que se torna verdadeiro depois. Juntas, elas tornam possível raciocinar sobre se uma etapa pode alimentar a próxima.
Pipeline de extração em múltiplos estágios assistido por grandes modelos de linguagem
Construir essas unidades de ataque a partir de texto bruto é onde grandes modelos de linguagem entram em cena — não como um único gerador de ponta a ponta, mas como componentes em um pipeline de análise de ataque em múltiplos estágios. O pipeline funciona em sequência: primeiro extrai esqueletos de comportamento de ataque da narrativa de CTI, depois recupera as pré-condições e pós-condições para cada comportamento, em seguida normaliza todos os componentes em um conjunto predefinido de predicados e, por fim, repara quaisquer dependências quebradas que desconectariam a cadeia.
Essa última etapa de reparo é analiticamente significativa. Relatórios reais de CTI não são escritos como especificações de engenharia. Os autores omitem suposições que consideram óbvias, pulam etapas intermediárias ou descrevem efeitos sem nomear causas. Um sistema que não corrija ativamente essas lacunas produzirá cadeias de ataque cheias de falhas lógicas — sequências que parecem completas na superfície, mas que não podem ser realmente percorridas. A etapa de reparo aborda isso diretamente.
O resultado do pipeline completo é um conjunto de unidades de ataque normalizadas e internamente consistentes — prontas para serem entregues a um mecanismo de raciocínio em vez de simplesmente catalogadas.
Raciocínio Lógico e Resultados da Avaliação
Uma vez extraídas, as unidades de ataque são compiladas em regras no estilo Datalog. Datalog é uma linguagem de programação lógica bem adequada a consultas de alcançabilidade: dado um conjunto de fatos e regras, o sistema consegue derivar que um estado objetivo especificado é alcançável? Enquadrar cadeias de ataque dessa forma transforma um problema de extração de conhecimento em um problema de raciocínio formal — com um critério de sucesso claro.
Compilação em regras no estilo Datalog para análise de alcançabilidade
Cada unidade de ataque se torna uma regra: se as pré-condições forem satisfeitas, então as pós-condições se seguem. Encadear essas regras permite que o mecanismo de inferência pergunte se um objetivo de ataque específico — por exemplo, comprometimento completo do domínio — é alcançável a partir de um ponto de apoio inicial, dados os comportamentos descritos no relatório de CTI. Essa é uma capacidade materialmente diferente de apenas saber que uma determinada TTP foi observada. É a diferença entre uma lista de ingredientes e uma receita com resultado verificado.
Desempenho em relatórios de CTI anotados
O conjunto de dados de avaliação consistiu em 20 relatórios de CTI contendo 334 etapas anotadas e validadas por humanos. Em todo esse conjunto, o framework alcançou maior cobertura de etapas anotadas do que sistemas representativos de extração de CTI — o que significa que recuperou mais dos comportamentos de ataque que analistas humanos haviam identificado como significativos.
O mecanismo de inferência em Datalog alcançou o objetivo de ataque especificado em 19 dos 20 relatórios. A busca reversa nos conjuntos de regras gerados produziu 34 caminhos de ataque distintos. Esse último número é importante: encontrar múltiplos caminhos para o mesmo objetivo revela redundância na estratégia do invasor e dá aos defensores uma visão mais completa de onde precisam fechar lacunas.
Vantagens comparativas em relação a baselines de LLM de ponta a ponta
Comparado a baselines de grandes modelos de linguagem de ponta a ponta — em que um único modelo é instruído a produzir a unidade de ataque completa de uma só vez —, o pipeline estruturado produziu unidades de ataque mensuravelmente mais completas e mais consistentes. A geração de ponta a ponta tende a produzir resultados com aparência plausível que, ainda assim, omitem pré-condições ou geram pós-condições que contradizem etapas anteriores. A abordagem em estágios, por contraste, força cada componente a ser extraído e normalizado separadamente antes de ser montado, o que reduz desvios e omissões.
Esse é o insight metodológico mais profundo incorporado na pesquisa. Grandes modelos de linguagem são poderosos extratores de semântica a partir de texto não estruturado, mas não são arquitetos confiáveis de estrutura lógica quando deixados por conta própria. Envolvê-los em um pipeline disciplinado — em que cada estágio tem uma tarefa específica e limitada — parece recuperar a consistência que a geração irrestrita perde.
Por Que Isso Importa para Inteligência de Ameaças e Defesa
A implicação prática é que os defensores poderiam, em princípio, alimentar um relatório de CTI recém-publicado em um sistema como este e receber não apenas um resumo do comportamento do invasor, mas uma resposta verificada por máquina à pergunta: dada esta sequência de técnicas relatada, o adversário consegue alcançar nossos ativos mais valiosos a partir de um determinado ponto de entrada? Esse tipo de análise de alcançabilidade de objetivo de ataque historicamente exigiu que analistas especializados a realizassem manualmente — um processo lento e caro que não escala ao volume de inteligência de ameaças que as organizações recebem.
Há também um sinal mais amplo aqui sobre o papel do raciocínio estruturado na segurança assistida por IA. À medida que as organizações integram grandes modelos de linguagem em suas operações de segurança, a tentação é tratá-los como solucionadores universais. Os resultados desta pesquisa sugerem um quadro mais nuançado: LLMs emparelhados com mecanismos de inferência formal podem ser mais poderosos do que qualquer um isoladamente, precisamente porque compensam as fraquezas um do outro. O código-fonte e os artefatos experimentais estão disponíveis em um repositório anonimizado, deixando a porta aberta para validação e extensão independentes.
Perguntas Frequentes
Por que é desafiador extrair cadeias de ataque de relatórios de CTI?
Relatórios de CTI são narrativas não estruturadas que descrevem ataques do mundo real, o que dificulta a automatização do raciocínio sobre caminhos de ataque. A prosa omite suposições, pula etapas intermediárias e não codifica os estados do sistema que determinam se uma etapa de ataque pode seguir outra.
Como o framework proposto melhora em relação aos métodos existentes de extração de CTI?
Ele modela cada etapa de ataque com pré-condições, comportamento e pós-condições, e usa um pipeline de modelo de linguagem em múltiplos estágios para extrair e normalizar esses componentes — incluindo uma etapa de reparo que corrige dependências quebradas. Isso viabiliza correspondência de estados e raciocínio de alcançabilidade que métodos de extração em nível de rótulo não conseguem suportar.
Que papel a inferência em Datalog desempenha nesse framework?
Unidades de ataque extraídas são compiladas em regras no estilo Datalog, permitindo que o sistema realize raciocínio de alcançabilidade e identifique caminhos de ataque que levam a objetivos especificados. Isso transforma o conhecimento extraído em uma afirmação formalmente verificável sobre o que um invasor pode alcançar.
Como o desempenho do framework foi avaliado?
Em 20 relatórios de CTI contendo 334 etapas anotadas e validadas por humanos, o framework alcançou maior cobertura do que sistemas representativos de extração de CTI e produziu unidades de ataque mais completas do que baselines de LLM de ponta a ponta. A análise de alcançabilidade baseada em Datalog teve sucesso em 19 dos 20 relatórios, e a busca reversa identificou 34 caminhos de ataque distintos.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Por que é desafiador extrair cadeias de ataque de relatórios de CTI?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Relatórios de CTI são narrativas não estruturadas que descrevem ataques do mundo real, o que dificulta a automatização do raciocínio sobre caminhos de ataque. A prosa omite suposições, pula etapas intermediárias e não codifica os estados do sistema que determinam se uma etapa de ataque pode seguir outra.”}},{“@type”:”Question”,”name”:”Como o framework proposto melhora em relação aos métodos existentes de extração de CTI?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Ele modela cada etapa de ataque com pré-condições, comportamento e pós-condições, e usa um pipeline de modelo de linguagem em múltiplos estágios para extrair e normalizar esses componentes — incluindo uma etapa de reparo que corrige dependências quebradas. Isso viabiliza correspondência de estados e raciocínio de alcançabilidade que métodos de extração em nível de rótulo não conseguem suportar.”}},{“@type”:”Question”,”name”:”Que papel a inferência em Datalog desempenha nesse framework?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Unidades de ataque extraídas são compiladas em regras no estilo Datalog, permitindo que o sistema realize raciocínio de alcançabilidade e identifique caminhos de ataque que levam a objetivos especificados. Isso transforma o conhecimento extraído em uma afirmação formalmente verificável sobre o que um invasor pode alcançar.”}},{“@type”:”Question”,”name”:”Como o desempenho do framework foi avaliado?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Em 20 relatórios de CTI contendo 334 etapas anotadas e validadas por humanos, o framework alcançou maior cobertura do que sistemas representativos de extração de CTI e produziu unidades de ataque mais completas do que baselines de LLM de ponta a ponta. A análise de alcançabilidade baseada em Datalog teve sucesso em 19 dos 20 relatórios, e a busca reversa identificou 34 caminhos de ataque distintos.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
