一种减少对威胁情报标注依赖的自动化IOC抽取方法

摘要

为了应对日益严峻的网络威胁，需要对网络攻击做深入的分析.网络威胁指标（IOC）是网络威胁情报（CTI）的重要组成部分，贯穿了网络攻击整个生命周期，准确描述了每个攻击阶段的关键信息（攻击行为、威胁体等）.从CTI中抽取IOC可以帮助进行网络防御、追踪和对抗.现有的IOC抽取方法基于机器学习或深度学习方法取得了巨大进展，但是需要大量人工标注的CTI进行训练.为了应对这一挑战，本文提出了一种新颖的IOC自动提取方法（L-AIE），仅使用少量标注的CTI就能达到优秀的提取准确率. L-AIE通过细粒度的分词方式以从较少的CTI中获得足够的信息，上下文层和组合层用于充分提取子词级别的上下文信息.在训练阶段，L-AIE利用额外的关系层来扩大IOC类别之间的差异.实验证明，L-AIE对训练数据量的依赖较小，而且提取效果也优于其他对比方法 . L-AIE仅使用其他模型10%的数据训练，就达到了87.54%Macro F1值，比其他方法高出20%.当训练数据量进一步减少时，L-AIE受影响的程度也小于其他模型的一半.

关键词

网络威胁 / 网络威胁情报 / 威胁指标 / 小样本学习

基金资助

国家自然科学基金(U2133208); 国家重点研发计划(2022YFB3305200); 四川大学-泸州市人民政府战略合作项目(2022CDLZ-5)