Модель и алгоритмы анализа данных киберразведки на основе графа знаний

Аннотация

Введение: традиционные системы генерации ответов с расширенным поиском, основанные на векторном поиске по текстовым фрагментам, ограниченно эффективны при многошаговом сопоставлении отчетов киберразведки, национальных классификаторов угроз и международных баз знаний. Цель: разработать и экспериментально оценить модель графа знаний, алгоритмов межонтологического выравнивания и двухконтурного извлечения контекста в ходе анализа данных киберразведки. Методы: модель реализована как ориентированный типизированный граф свойств с набором атрибутов, объединяющий национальный банк данных угроз, международные базы знаний о тактиках и техниках атак, защитных мерах, реестры уязвимостей, классификаторы слабостей программного обеспечения, каталоги шаблонов атак и корпус отчетов киберразведки. Достижение цели оценивается количественными метриками при построении межонтологических связей и анализе возможностей вопросно-ответной системы. Результаты: разработан алгоритм построения межонтологических связей с проверкой по семантическому сходству, доменным ограничениям и выравниванием с контролем корректности с помощью больших языковых моделей. Реализован двухконтурный алгоритм извлечения контекста, объединяющий граф знаний и доказательный слой текстовых фрагментов. Предложен метод анализа данных киберразведки на основе модели графа знаний, алгоритмов построения межонтологических связей и извлечения контекста. На тестовой выборке обучаемый классификатор межонтологических связей достиг значения метрики F₁ = 0,83. Вводимые экспертные связи повысили значение метрики EM полного совпадения предсказанного и эталонного множества идентификаторов с 0,34 до 0,63, автоматические связи обеспечили значение метрики EM = 0,56. Получен значимый прирост значения метрики Entity Recall@50 относительно текстового поиска: 0,5225 и после сокрытия идентификаторов тактик и техник прирост составил 0,5467. Практическая значимость: метод предназначен для поддержки принятия решений аналитиками центра мониторинга информационной безопасности при сопоставлении отчетов киберразведки с национальными и международными базами знаний. Обсуждение: межонтологические связи повышают проверяемость ответа за счет выравнивания с контролем корректности, а слой сводных описаний сообществ графа увеличивает согласованность ответа с извлеченным контекстом при умеренном снижении точности.