Assessing and Prioritizing Ransomware Risk Based on Historical Victim Data
作者: Spencer Massengale, Philip Huff
分类: cs.CR, cs.AI, cs.LG
发布日期: 2025-02-06
💡 一句话要点
提出基于历史受害者数据的勒索软件风险评估与优先级排序方法
🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 勒索软件 风险评估 大型语言模型 威胁情报 网络安全
📋 核心要点
- 勒索软件攻击日益猖獗，组织迫切需要有效评估自身面临的风险，现有方法难以准确预测特定攻击者对特定目标的威胁程度。
- 本文提出利用大型语言模型（LLM）分析公开数据，构建攻击者的SKRAM画像，并结合受害者数据，预测攻击可能性，从而实现风险优先级排序。
- 通过机器学习模型，组织可以根据最可能攻击者的TTP制定防御策略，从而更有效地应对勒索软件威胁。
📝 摘要（中文）
本文提出了一种识别特定实体最可能遭受哪些勒索软件攻击者攻击的方法，从而帮助这些实体制定更好的保护策略。勒索软件是一种强大的网络安全威胁，其特点是具有利润驱动动机、支撑犯罪集团的复杂底层经济以及公开的攻击性质。这种恶意软件一直是最流行的恶意软件之一，并且活动迅速升级。最近的估计表明，大约三分之二的组织在2023年遭受了勒索软件攻击。勒索软件活动的一个中心策略是公开攻击，以胁迫受害者支付赎金。我们的研究利用勒索软件受害者的公开披露来预测实体被特定勒索软件变种攻击的可能性。我们采用大型语言模型（LLM）架构，该架构使用独特的思维链、多样本提示方法，从勒索软件公告、威胁报告和新闻项目中定义攻击者的SKRAM（技能、知识、资源、权限和动机）配置文件。该分析通过公开可用的受害者数据进行丰富，并通过生成反映受害者配置文件的合成数据的启发式方法进一步增强。我们的工作最终开发出一个机器学习模型，该模型可以帮助组织根据最可能攻击者的策略、技术和程序（TTP）来确定勒索软件威胁的优先级并制定防御措施。
🔬 方法详解
问题定义：当前组织面临勒索软件攻击的巨大威胁，但难以准确评估自身面临的风险。现有方法通常依赖于通用的威胁情报，无法针对特定组织预测最可能发起的攻击者及其攻击方式。因此，需要一种能够根据历史数据，预测特定组织遭受特定勒索软件攻击者攻击可能性的方法。
核心思路：本文的核心思路是利用公开可用的数据，包括勒索软件公告、威胁报告、新闻报道以及受害者披露信息，构建攻击者的SKRAM（技能、知识、资源、权限和动机）画像，并结合受害者数据，训练机器学习模型，预测特定组织遭受特定攻击者攻击的可能性。通过分析攻击者的SKRAM，可以更准确地了解其攻击目标和策略，从而更好地评估风险。
技术框架：该方法主要包含以下几个阶段：1) 使用大型语言模型（LLM）从公开数据中提取攻击者的SKRAM信息；2) 收集并整理公开可用的勒索软件受害者数据；3) 使用启发式方法生成合成数据，以增强受害者数据的覆盖范围；4) 将攻击者的SKRAM画像和受害者数据输入机器学习模型，训练模型以预测攻击可能性；5) 根据预测结果，对勒索软件威胁进行优先级排序，并为组织提供防御建议。
关键创新：该方法的关键创新在于：1) 使用大型语言模型（LLM）自动构建攻击者的SKRAM画像，从而避免了手动分析的繁琐和主观性；2) 结合攻击者的SKRAM画像和受害者数据，更准确地预测攻击可能性；3) 使用启发式方法生成合成数据，以解决受害者数据不足的问题。与现有方法相比，该方法能够更准确地评估特定组织面临的勒索软件风险。
关键设计：在LLM提示工程方面，采用了独特的思维链、多样本提示方法，以提高LLM提取SKRAM信息的准确性。启发式数据生成方法的设计目标是生成与真实受害者数据分布相似的合成数据，以避免引入偏差。机器学习模型选择方面，可能采用了分类或回归模型，具体参数设置未知。损失函数的设计目标是最小化预测攻击可能性与实际攻击情况之间的差异。
🖼️ 关键图片
📊 实验亮点
论文利用LLM从公开数据构建攻击者画像，并结合受害者数据进行风险预测，但具体的性能数据（例如预测准确率、召回率等）以及与现有基线的对比结果未知。合成数据的质量和对模型性能的影响也需要进一步评估。尽管如此，该方法为勒索软件风险评估提供了一个新的思路。
🎯 应用场景
该研究成果可应用于企业和政府机构的网络安全风险评估。通过预测最可能攻击的勒索软件团伙，组织可以更有针对性地部署防御资源，例如加强对特定攻击者常用TTP的检测和防御。此外，该方法还可以帮助保险公司评估网络安全风险，并为客户提供更合理的保险方案。未来，该方法可以扩展到其他类型的网络攻击风险评估。
📄 摘要（原文）
We present an approach to identifying which ransomware adversaries are most likely to target specific entities, thereby assisting these entities in formulating better protection strategies. Ransomware poses a formidable cybersecurity threat characterized by profit-driven motives, a complex underlying economy supporting criminal syndicates, and the overt nature of its attacks. This type of malware has consistently ranked among the most prevalent, with a rapid escalation in activity observed. Recent estimates indicate that approximately two-thirds of organizations experienced ransomware attacks in 2023 \cite{Sophos2023Ransomware}. A central tactic in ransomware campaigns is publicizing attacks to coerce victims into paying ransoms. Our study utilizes public disclosures from ransomware victims to predict the likelihood of an entity being targeted by a specific ransomware variant. We employ a Large Language Model (LLM) architecture that uses a unique chain-of-thought, multi-shot prompt methodology to define adversary SKRAM (Skills, Knowledge, Resources, Authorities, and Motivation) profiles from ransomware bulletins, threat reports, and news items. This analysis is enriched with publicly available victim data and is further enhanced by a heuristic for generating synthetic data that reflects victim profiles. Our work culminates in the development of a machine learning model that assists organizations in prioritizing ransomware threats and formulating defenses based on the tactics, techniques, and procedures (TTP) of the most likely attackers.