An Automated Framework for Extracting Reachable Attack Chains from Cyber Threat Intelligence Reports

📄 arXiv: 2607.19742v1 📥 PDF

作者: Wenbo Hou, Ning Hu, Xueping Wang, Jiahao Gu, Wenjian Luo

分类: cs.CR, cs.AI

发布日期: 2026-07-22

备注: 16 pages, 3 figures

💡 一句话要点

提出自动化框架以提取可达攻击链解决网络威胁情报报告问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 网络威胁情报 攻击链提取 自动化推理 大型语言模型 Datalog推理

📋 核心要点

  1. 现有CTI提取方法未能有效建模攻击步骤的执行条件和结果状态，导致无法进行有效的攻击路径推理。
  2. 本文提出的框架将每个攻击步骤视为包含前置条件、攻击行为和后置条件的单元，从而实现对攻击链的自动化提取。
  3. 在20份CTI报告的数据集上，框架在恢复攻击行为方面的标注步骤覆盖率高于现有CTI提取系统，且生成的攻击单元更完整一致。

📝 摘要（中文）

网络威胁情报（CTI）报告详细描述了现实世界的攻击过程，但其非结构化叙述无法直接用于自动化攻击路径推理。现有的CTI提取方法主要关注指标、实体或TTP标签，而未建模每个攻击步骤的执行条件和结果状态，因此提取的知识无法支持跨多阶段攻击链的状态匹配或可达性分析。本文提出了一种自动化框架，通过将每个攻击步骤建模为包含前置条件、攻击行为和后置条件的攻击单元，提取可达攻击链。该框架利用大型语言模型（LLMs）辅助的多阶段管道提取攻击行为骨架，恢复其前置条件和后置条件，并将其标准化为预定义谓词，最终生成Datalog风格的规则以进行攻击目标可达性推理。

🔬 方法详解

问题定义：本文旨在解决现有CTI提取方法在建模攻击步骤执行条件和结果状态方面的不足，导致无法进行有效的攻击路径推理。

核心思路：通过将每个攻击步骤建模为攻击单元，包含前置条件、攻击行为和后置条件，来实现对可达攻击链的自动化提取。此设计使得提取的知识能够支持状态匹配和可达性分析。

技术框架：整体框架包括多个阶段，首先利用大型语言模型提取攻击行为骨架，然后恢复前置条件和后置条件，接着将其标准化为预定义谓词，最后生成Datalog风格的规则以进行推理。

关键创新：最重要的创新在于通过明确生成前置条件和后置条件，构建出比现有端到端LLM基线更完整且一致的攻击单元。

关键设计：框架中的关键设计包括使用大型语言模型进行信息提取，标准化过程中的谓词定义，以及Datalog推理的规则生成，这些设计确保了提取结果的高质量和可用性。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

在20份CTI报告的数据集上，本文框架在恢复攻击行为方面的标注步骤覆盖率超过现有CTI提取系统，且Datalog推理在20份报告中成功达到指定攻击目标的比例为95%。此外，生成的攻击路径数量达到34条，显示出显著的性能提升。

🎯 应用场景

该研究的潜在应用领域包括网络安全防护、攻击路径分析和威胁检测等。通过自动化提取可达攻击链，安全团队可以更有效地识别和应对潜在威胁，从而提高整体网络安全防护能力。未来，该框架有望与其他安全工具集成，进一步提升网络安全响应效率。

📄 摘要（原文）

Cyber Threat Intelligence (CTI) reports richly describe real-world attack processes, but their unstructured narratives cannot be directly used for automated attack-path reasoning. Existing CTI extraction methods focus on indicators, entities, or TTP labels without modeling the execution conditions and resulting states of each attack step, so the extracted knowledge supports neither state matching nor reachability analysis across multi-stage attack chains. This paper proposes an automated framework that extracts reachable attack chains by modeling each attack step as an attack unit of preconditions, an attack behavior, and postconditions. A multi-stage pipeline assisted by large language models (LLMs) extracts attack behavior skeletons, recovers their preconditions and postconditions, normalizes them into predefined predicates, and repairs broken dependencies; the resulting units are compiled into Datalog-style rules for attack-goal reachability reasoning. On a dataset of 20 CTI reports containing 334 human-validated annotated steps, our framework achieves higher annotated-step coverage than representative CTI extraction systems in recovering attack behaviors. Moreover, by explicitly generating preconditions and postconditions, it produces attack units that are more complete and consistent than those generated by end-to-end LLM baselines. On the extracted chains, Datalog inference reaches the specified attack goal in 19 of 20 reports, while backward search yields 34 attack paths under the generated rules. The source code and experimental artifacts are available in an anonymized repository. .