九游老哥云
清静知识图谱|构建APT组织图谱，突破信息孤岛效应
2021-11-25
清静知识图谱作为清静领域的专用知识图谱，是实现网络清静认知智能的要害，亦是应对网络空间高级、一连、重大威胁与危害不可或缺的手艺基础。九游老哥科技于克日推出清静知识图谱手艺白皮书《践行清静知识图谱，携手迈进认知智能》，旨在对清静知识图谱看法内在、焦点框架、要害手艺和应用实践举行周全总结与先容，期望为读者带来全新的手艺思索，助力网络清静智能化迈入认知智能阶段。
本文为清静知识图谱白皮书英华解读第一篇，先容高级一连性威胁（Advanced Persistence Threat，简称 APT）组织图谱构建相关手艺，助力APT组织追踪。
一、信息孤岛效应
APT攻击往往具有明确的攻击意图，且攻击手段具备极高的隐藏性和潜在性，对政府和企业的主要资产组成重大威胁。由于在APT威胁剖析和溯源中涉及的信息数据杂乱，自成系统，难以有用组织，导致在事务剖析历程中泯灭大宗人力，无法对相关的专家知识举行生涯形成可复用的知识库。而知识图谱手艺通过界说领域知识，用语义网将散乱的知识以逻辑方法举行关联，能够有用解决信息清静知识不可系统、难以将专家知识转换成机械语言的问题。以是，网络清静研究者逐渐最先使用知识图谱剖析威胁情报。
九游老哥科技清静知识图谱以威胁元语模子为焦点，通太过析已经宣布的APT剖析报告等数据，提取APT组织的形貌信息和剖析逻辑关系，自顶向下构建知识图谱，为团结知识图谱的本体结构对APT组织举行追踪和画像涤讪基础。
二、APT组织图谱构建
APT组织知识图谱以攻击组织（APT、恶意代码家族等）为焦点，通太过析组织手艺水平（攻击工具、攻击手段、掌握的误差使用、恶意软件）、网络基础设施（IP、域名、电子邮箱）及历史战争、攻击目的特征、危害意图等知识，实现对APT组织的综合画像。
其中，网络威胁情报领域及相关清静要素已有大宗相对成熟的标准系统，针对攻击组织涉及的种种清静实体可参考清静领域相关规范，实体关系的设计则主要参考STIX2.0形貌语言等。威胁元语系统的构建涵盖4个条理和11个主要实体类型，并融合了百万级别的知识节点。构建的本体如下图所示。
攻击组织本体设计
以NSA网络武器库中的永恒之蓝误差为例，该示例中威胁主体为NSA，攻击工具是Metasploit，攻击模式是永恒之蓝误差攻击，懦弱为CVE-2017-0143，防护手段包括端口关闭和流量扬弃，攻击目的为Windows 7操作系统。在现实营业场景中，剖析者只要检测该知识图谱中的某一威胁实体，如SMB远程执行代码误差（CVE-2017-0143），通过建设知识图谱语义关系（weakness_of和defensed_by）和剖析现实营业场景下的信息资产关系（服务器、防火墙、路由器），输出受到影响的资产列表（服务器），并可推荐出危害处置惩罚建议（关闭445端口、流量扬弃），不但能获取态势信息，更能进一步推理出其影响规模和可接纳的防御步伐。关联关系如图所示。
永恒之蓝误差攻击示例
别的，爬取互联网上种种APT剖析报告等信息，需要泯灭大宗人力，且代码可扩展性差，同时，由于缺乏对非结构化文本的主题区分，影响提取情报的准确度。
九游老哥科技通过设计攻击组织知识图谱本体，确定情报收罗类型、属性及相关字典规范界说，团结爬虫和自然语言处置惩罚手艺构建可快速扩展抽取情报运营系统，实现APT、恶意代码家族情报半自动化收罗。
三、总结
现在大多研究建设APT组织知识图谱接纳自上而下的方法，通过信息抽取对齐等手艺从数据中提取APT组织相关的实体、属性及关系等特征，凭证本体中界说的知识属性等举行消歧融合增补。要想更精准地实现对差别APT组织的描绘，要害在于建设一套统一的语言来形貌差别APT组织的行为和特征，随之构建关于APT组织的知识库，并对知识库举行扩充和使用。未来，九游老哥科技将一直探索APT组织图谱构建相关手艺。
