大家读完觉得有帮助记得关注和点赞摘要在不断演变的威胁环境中攻击者利用软件漏洞发起复杂攻击对传统防御构成挑战。尽管CVE和NVD等数据库提供了详细的技术信息但它们往往缺乏与攻击者行为如战术和技术的关联限制了有效的威胁解读和响应。本研究通过将漏洞与MITRE ATTCK框架中的行为模式相连接弥合了这一差距。我们构建了一个CVE–TTP知识图谱利用分类和关系抽取将CVE关联到战术和技术。开发了基于Transformer的模型进行行为识别其中CySecBERT在技术分类上达到87.71%的宏平均F1分数在战术分类上达到96.16%。此外我们创建了一个包含24,820个实体和43,608个关系的标注数据集用于实体和关系抽取。基于流水线的方法在实体抽取上达到0.86的宏平均F1分数在关系抽取上达到0.99而基于跨度的联合模型达到0.78。这些输出被集成到基于Neo4j的网络威胁知识图谱中实现漏洞的结构化可视化。关键词 网络威胁情报知识图谱MITRE ATTCK漏洞分析联合实体关系抽取。1 引言在当代网络安全格局中软件漏洞已成为战略资产被威胁行为者积极交易、武器化并整合到协调的、以经济动机为导向的网络活动中[4]。每个披露的漏洞都代表进入关键系统的潜在入口点并经常作为更广泛攻击行动的一部分被利用[13]。为了标准化此类缺陷的报告已开发了通用漏洞披露CVE¹ 和国家漏洞数据库NVD² 等存储库。尽管这些存储库为已知漏洞提供了结构化标识符和元数据但它们往往缺乏操作上下文例如攻击者目标、技术和利用路径而这些正是理解漏洞在实际威胁场景中如何被使用所必需的。缺乏这种上下文安全团队面对大量漏洞数据但对哪些漏洞最可能被利用以及如何利用的洞察有限。传统的防御策略侧重于补丁和缓解[6]。然而随着攻击复杂性的增加仅靠技术修复是不够的。为实现网络弹性防御者必须理解对手行为背后的意图以及特定漏洞如何与战略目标相关联。MITRE ATTCK³ 等框架提供了战术、技术和过程TTP的结构化知识其中战术代表攻击者的目标或目的做什么技术描述实现这些目标所用的一般方法如何做。将行为情报与漏洞数据集成对于根据对手意图和能力优先处理威胁并预测攻击模式至关重要。这一需求的紧迫性因漏洞披露的快速增长而被放大。仅在2024年就报告了超过40,000个新CVE比前一年增加了39%⁴。数据的爆炸式增长使手动分析变得困难迫切需要能够大规模处理、关联和上下文化漏洞的自动化解决方案⁵。为支持上下文化的漏洞分析我们提出了一个CVE-TTP知识图谱CVE-TTP KG将软件漏洞关联到攻击者行为具体来说是战术和技术。我们的系统首先使用安全领域的变换模型识别与漏洞相关的ATTCK战术和技术。此外该框架支持以语义三元组形式提取关键漏洞实体及其关系实体1关系实体2。这些三元组作为构建CVE-TTP KG的基础输入。该知识图谱解决了当前漏洞分析框架中的一个关键缺口后者常将漏洞视为缺乏行为上下文的孤立记录。通过显式建模CVE与对手行为之间的连接我们的方法能够更深入理解利用模式、威胁目标和攻击链。CVE-TTP KG不仅支持人类分析师的可视化和态势感知还促进机器推理用于自动化威胁检测、风险优先级排序和决策。本工作的主要贡献概述如下我们引入了用于ATTCK技术和战术多标签分类的新型数据集以及一个手动标注的漏洞实体及其语义关系数据集以支持知识抽取和基于图的安全分析。我们实现了一个基于变换器的分类模型自动将软件漏洞映射到相关的ATTCK战术和技术。我们开发了使用流水线和联合学习方法从漏洞描述中提取实体及其语义关系的模型。我们对这两种策略进行了比较评估以评估它们在捕获漏洞特定关系方面的有效性。我们构建了一个全面的知识图谱将CVE与相关攻击行为以及其他相关漏洞信息关联起来。生成的图提供了威胁情报的结构化、可解释表示使得跨对抗性活动的漏洞利用分析更有效。本文其余部分组织如下第2节回顾相关工作。第3节详细介绍所提出的架构和方法。第4节展示实验结果并进行全面分析。最后第5节总结研究并概述未来研究方向。2 相关工作本节回顾两个主要主题下的相关先前工作1CVE到TTP的分类以及2面向漏洞的威胁建模的威胁知识图谱构建。2.1 CVE-TTP分类近年来将CVE映射到MITRE战术和技术的工作日益增多。Simonetto等人[17]提出了一种基于规则的流水线利用CWE等结构化数据和语义相似性将CVE与技术对齐。然而他们的方法依赖经典机器学习缺乏使用现代NLP技术的自动化和上下文推理。Kuppa等人[12]引入了一种基于深度学习的模型使用伪标签数据在CVE文本和ATTCK技术描述之间的语义匹配上进行训练。尽管在技术预测上有效但他们的工作未包含战术级分类或结构化威胁建模。最近大型语言模型LLM的进展开辟了新途径。Hu等人[11]提出了LLM-TIKG一种基于提示的框架增强了网络安全任务中的标注和分类。然而他们的方法需要手动干预且未针对CVE描述进行定制。相比之下我们的工作实现了战术和技术的端到端自动多标签分类并发布了用于基准测试的标注数据集。Zhang等人[22]提出了UniTTP一个统一的框架使用基于提示的编码器-解码器模型跨各种网络安全输入提取TTP。虽然他们的系统处理跨来源如入侵指标IoC和报告的联合推理但缺乏对CVE驱动的威胁建模的特定关注。2.2 威胁知识图谱构建构建有效的威胁知识图谱取决于在网络安全数据中准确保留相关实体及其关系。若干工作已从开源或结构化威胁情报构建了网络安全知识图谱。Xiao等人[21]探索了基于嵌入的模型来检测软件实体之间的关系但未针对ATTCK TTP语义或漏洞到技术的链接。Shi等人[16]和Falcarin等人[8]将异构数据源集成到基于图的表示中但缺乏从CVE直接提取或对MITRE TTP的关注。Gao等人[9]引入了ThreatKG一个从CTI报告中使用语义丰富化自动生成知识图谱的系统。尽管在上下文信息方面丰富但他们的模型未专门将CVE连接到ATTCK框架。类似地Hu等人[11]使用LLM驱动的联合NER和RE在CTI报告上构建了AttackKG但对CVE对齐的关注有限。其他值得注意的工作包括Ren等人[14]的CSKG4APT专注于通过集成恶意软件和TTP进行APT活动的归因以及Arikkat等人[1]的OSTIS构建了组织威胁知识图谱。尽管两个框架都支持高级威胁建模但它们未显式提取或将CVE描述链接到ATTCK技术。Zhang等人[23]提出了AttacKG将LLM与自动化CTI解析相结合生成与ATTCK对齐的图。他们的方法论在利用LLM方面与我们相似尽管他们主要操作于威胁报告。我们的贡献通过直接在CVE上应用联合实体-关系抽取并构建以ATTCK为根基的图用于对抗行为的结构化可视化从而弥合了这一差距。现有方法主要关注CVE到TTP映射或知识图谱构建对将两者集成在统一框架中的努力有限。它们也缺乏针对CVE文本定制的联合NER和关系抽取并对基于ATTCK的对抗行为可视化支持有限。为填补这些空白我们提出了一个集成框架从CVE描述中执行ATTCK战术和技术的多标签分类应用联合实体和关系抽取以丰富威胁情报并构建以漏洞为中心的知识图谱用于对抗行为的结构化表示和可视化。3 方法本节概述所提出的CVE-TTP KG系统架构如图1所示。我们系统的最终目标是通过将提取的CVE描述转换为经过整理、语义丰富的格式旨在捕获对抗行为模式从而构建一个全面的知识图谱。工作流程分为四个主要模块i数据收集ii将CVE描述与技术和战术链接iii实体和关系抽取iv知识图谱生成。每个模块负责流水线中的特定任务。图1CVE-TTP知识图谱架构。 构建过程包括四个阶段i数据收集从多个来源收集漏洞信息ii分类使用预测模型将CVE映射到ATTCK技术和战术iii实体和关系抽取识别结构化信息iv知识图谱构建将抽取的三元组组织成图。3.1 数据收集首先我们使用NVD和MITRE CVE列表V5的记录构建了涵盖1999-2025年期间的CVE数据集。NVD提供了2002年至今的结构化CVE记录而CVE列表V5⁶ 用于补充1999-2001年的记录以确保历史完整性。数据收集后共获得276,289条CVE记录。图2展示了收集的CVE按年份分布显示从1999年到2024年报告的漏洞稳步增加。图2CVE按年份分布。该图描绘了收集漏洞的年度分布显示每年提取的CVE条目数量。为了用对抗行为丰富CVE我们使用多阶段映射过程集成了来自CWE、CAPEC和MITRE ATTCK框架的信息。首先从NVD记录中提取CWE标识符。例如CVE-2021-22909⁷EdgeMAX EdgeRouter固件更新中的中间人漏洞与CWE-300非端点可访问的通道⁸ 关联。该CWE映射到CAPEC攻击模式如CAPEC-94中间人攻击和CAPEC-579后者进一步对齐到ATTCK技术T1040网络嗅探¹⁰。该技术链接到凭据访问和发现战术。这一丰富化流水线CVE → CWE → CAPEC → 技术 → 战术用于生成分类的真实标签。没有有效CWE映射的CVE被排除。在收集的276,289个CVE中178,233个成功丰富生成的技术数据集涵盖95种ATTCK技术战术数据集涵盖全部14种ATTCK战术类别。这种方法形成了坚实基础但由于公共资源中可用的映射特别是从CWE到CAPEC再到ATTCK技术稀疏且不完整存在固有局限性。因此该方法仅丰富了部分CVE的行为上下文。为克服这一限制我们开发了一个自动化分类模型直接从CVE文本描述中预测ATTCK战术和技术。3.2 将CVE描述与技术和战术链接在此阶段我们开发了一个基于变换器模型的自动化工具用于预测给定漏洞描述相关的技术和战术。该模型利用上一阶段第3.1节构建的CVE数据集。具体而言模型的每个输入实例通过组合关键上下文信息构建包括CVE标识符、其文本描述和关联的CWE标识符。输入格式结构为“被识别为CVE IDCVE ID的漏洞描述为描述。它与CWE ID问题类型CWE相关联。”该数据集随后用于训练多标签分类模型以预测对抗行为。为执行技术和战术分类我们采用了预训练的基于BERT的语言模型这些模型已专门适应网络安全领域。SecBERT是一个在网络安全语料库如APTnotes、STUCCO-Data、CASIE和SecureNLP上预训练的BERT模型我们使用了Hugging Face上的jackaduma/SecBERT版本。CySecBERT[2]是一个在博客、arXiv、NVD和Twitter数据上预训练的网络安全适应BERT模型我们使用了markusbayer/CySecBERT在我们的数据集上进行微调。3.3 实体和关系抽取在此阶段我们识别并提取网络安全特定的实体及其语义关系特别是与软件漏洞相关的。我们通过回顾先前关于软件漏洞实体和关系抽取的工作[12, 18, 16]定义了实体和关系。此外为确保与CTI既定标准的一致性实体-关系模式与STIX 2.0框架¹¹ 的结构规范对齐。识别的实体包括漏洞标识符如CVE ID和CWE ID、产品名称、产品版本、供应商名称、漏洞类型和影响。为与对抗行为建模对齐模式还包括战术和技术实体。基于这些实体定义了几个关键关系以在知识图谱中捕获有意义的连接。affects影响关系将漏洞链接到其影响的具体产品或硬件例如CVE-2021-29529 affects TensorFlow。has_version有版本关系将产品与其特定版本关联例如TensorFlow has version TensorFlow 2.4.1而has_vendor有供应商识别负责产品的组织例如TensorFlow has vendor Google。has_weakness有弱点关系将漏洞或产品连接到相应的CWE类别例如CVE-2021-29529 has weakness CWE-131。has_impact有影响关系表示漏洞对安全属性如保密性、完整性或可用性的影响。此外associated_with关联于关系捕获漏洞与对抗技术之间或弱点与其相关CWE类别之间的联系例如CVE-2021-29529 associated with T1021以及Buffer Overflow associated with CWE-120。related_to相关于关系用于表示相似或链接漏洞之间的连接例如CVE-2009-2879 related to CVE-2009-2876。最后achieved_through通过……实现关系将战术链接到用于实现它的技术例如TA0002 achieved through T1204。在定义目标实体类别和关系类型后我们使用Label Studio¹² 手动标注并构建了一个用于实体和关系抽取的金标准数据集。由于手动标注耗时我们基于95%置信水平和3%误差幅度从178,233条CVE记录中选择了一个代表性样本包含1,080条描述。为执行实体和关系抽取我们实验了基于流水线的方法和联合抽取方法。流水线方法首先识别实体然后将实体传递给单独的关系抽取模型以确定它们之间的语义链接。相比之下联合抽取方法同时检测实体及其关系以主语关系宾语的形式构建关系三元组。对于流水线方法实体识别被表述为BIO标注任务其中每个词元被标记为实体的B开始、I内部或O外部。例如在“CVE-2023-1234 affects Microsoft Windows systems”中“CVE-2023-1234”被标记为B-CVE_ID而“Microsoft Windows”被标记为B-PRODUCT和I-PRODUCT。对于关系抽取阶段每个实例中的两个目标实体e₁e₂通过在输入句子中用特殊标记“$”包围e₁、用“#”包围e₂来突出显示。对于联合抽取模型输入以SciERC格式表示包括i词元——分词后的CVE描述ii实体——带类型和索引位置的标记跨度iii关系——实体对之间的语义链接。生成的标注数据集包含1,080条CVE描述涵盖24,820个实体和43,608个关系用于训练和评估实体和关系抽取模型。3.3.1 基于流水线的实体和关系抽取在该方法中实体和关系抽取通过两阶段顺序执行i网络安全实体识别CER和ii关系抽取RE。CER阶段旨在从漏洞CVE描述中识别网络安全相关实体而RE阶段侧重于发现这些实体之间的语义关联。基于流水线的实体和关系抽取工作流程如图3所示。图3基于流水线的实体和关系抽取工作流程网络安全实体识别在CER阶段我们采用了BERT–BiLSTM–CRF架构该架构已被广泛认可在领域特定序列标注任务中的有效性[1, 3, 19, 20]。BERTbert-base-uncased用作编码器生成捕获语义和技术信息的上下文词元嵌入。这些嵌入通过BiLSTM层以双向建模序列上下文随后是CRF层以确保一致的标签序列并改善模糊或多词元网络安全实体的识别。关系抽取在RE阶段我们识别实体之间的关系。我们采用了基于变换器的bert-base-uncased分类器其动机源于BERT-based方法在跨领域关系抽取中实现最先进性能的主导地位[5]。为引导模型关注目标实体e₁和e₂我们在输入句子中用特殊标记“$”用于e₁“#”用于e₂包围它们。标注后的文本随后由BERT编码为上下文化隐藏表示。实体跨度嵌入通过池化导出、拼接并送入带有softmax激活函数的全连接层以预测关系类型。3.3.2 联合实体和关系抽取传统的流水线架构在实体和关系抽取中遭受错误传播且无法捕获实体与其关系之间的相互依赖[10]。为解决这些局限性我们研究了一个同时执行两个任务的联合抽取框架。具体而言我们利用基于跨度的变换器框架[7]处理CVE漏洞描述以主语关系宾语格式提取实体-关系三元组。联合实体和关系抽取过程的整体工作流程如图4所示。图4联合实体和关系抽取工作流程联合实体和关系抽取模型的核心架构是预训练的CySecBERT。模型不采用词元级标注而是操作于跨度连续词元序列将每个可能的跨度视为实体分类的候选。该方法避免了CRF或BIO标注等传统解码策略。联合实体模型分三阶段运作i跨度分类ii跨度过滤和iii关系分类。通过跨度分类进行实体识别对每个句子模型为所有词元生成上下文嵌入包括表示句子整体上下文的特殊[CLS]分类器词元。候选跨度由连续词元序列构建每个跨度使用其词元嵌入的最大池化进行编码。为丰富跨度表示拼接了两个附加向量i捕获跨度长度的宽度嵌入和ii[CLS]嵌入以整合句子级信息。该拼接向量通过softmax分类器以预测实体类型或非实体类。跨度过滤预测为非实体的跨度被过滤掉。为减少计算开销我们在分类前丢弃超过预定义最大长度的跨度。结果集仅包含那些可能代表有意义实体的跨度。关系分类每对保留的实体跨度被评估以确定它们之间是否存在语义关系。对每个有序对s₁s₂通过拼接以下内容形成复合向量is₁和s₂的跨度嵌入ii它们各自的宽度嵌入和iii从两个跨度之间的词元嵌入导出的上下文嵌入。如果跨度对相邻或重叠上下文向量被零向量替代。该组合表示被送入sigmoid分类器以确定预定义集合中一个或多个关系的存在。由于关系可以是有向的s₁s₂和s₂s₁都被评估。3.4 CVE-TTP知识图谱构建网络安全知识图谱CKG提供了网络安全相关概念的结构化、语义丰富表示。在该框架中关键实体如漏洞、威胁行为者、利用、攻击战术、技术等被建模为节点而它们之间的语义关系被表示为有向边。该知识图谱提供了一个统一结构桥接低层次技术漏洞与高层次对抗策略。CVE-TTP KG的构建涉及以下关键阶段实体和关系抽取使用第3.3节所述的抽取方法从CVE漏洞描述中提取实体及其语义关系。使用Neo4j生成图提取的实体-关系三元组用于使用Neo4j¹³ 填充CVE-TTP图。Neo4j是一个原生图数据库支持使用Cypher查询语言高效存储、遍历和查询图结构。这有助于下游分析如子图探索、威胁归因、漏洞优先级排序和对手行为映射。每个唯一实体表示为带有相关元数据如类型、名称、标识符的节点每个关系存储为连接两个节点的有向边并标注相应关系类型。4 实验与分析在本节中我们详细说明实验设置随后讨论结果及其分析。4.1 实验设置实验使用Python在配备Apple M3芯片组的本地机器上进行。该系统具有8核集成GPU并利用Apple的Metal 3 API进行硬件加速。我们使用的库包括PyTorch和Hugging Face Transformers用于模型训练和推理scikit-learn用于性能评估matplotlib用于结果可视化以及Neo4j Python驱动程序用于构建知识图谱。为评估所提模型在不同任务上的性能我们采用了适合各问题的指标。由于战术和技术的分类涉及每个实例预测多个标签我们采用了多标签分类中常用的评估指标。这些指标包括汉明损失和Jaccard相似度以及标准指标包括精确率、召回率、F1分数和准确率[15]。对于实体识别和关系抽取任务我们使用精确率、召回率、F1分数和准确率评估模型性能以衡量提取的实体及其语义关系的质量和正确性。4.2 技术和战术分类性能本节展示了所提模型在漏洞描述中进行技术和战术分类的结果。实验中我们使用了通过第3.1节概述过程生成的标注数据集。技术分类数据集包含178,233条标注有95种唯一技术的漏洞描述而战术分类数据集包含相同的178,233条标注有14种唯一战术的描述。为确保监督学习的可靠性我们排除了样本不足的标签。具体而言实例少于50的技术和战术被丢弃。经过此过滤后用于模型训练的最终数据集包含80种技术和13种战术。数据集按80:10:10分为训练、验证和测试集。对于技术和战术预测我们使用了预训练的网络安全模型SecBERT和CySecBERT在我们的数据集上使用五个随机种子进行微调以确保稳定性。实验使用AdamW优化器学习率为1×10⁻⁵最多训练五个轮次。基于GPU限制CySecBERT的批量大小设为8SecBERT设为16。使用带Logits的二元交叉熵处理多标签分类任务。测试集上技术和战术分类的性能总结在表1中。总体而言CySecBERT在两个任务上均持续优于SecBERT。在技术分类任务中CySecBERT达到更高的Jaccard分数0.9659和F1-macro0.8771。类似地汉明损失对CySecBERT更低0.0071。对于战术分类任务两个模型在所有指标上均达到更高性能CySecBERT再次优于SecBERT。具体而言CySecBERT达到Jaccard分数0.9858F1-micro 0.9899F1-macro 0.9616反映了跨所有战术标签的泛化能力。表1SecBERT和CySecBERT模型在技术和战术分类上的平均性能基于五个不同随机种子运行的平均值。指标平均技术分类战术分类SecBERTCySecBERTSecBERTCySecBERTJaccard分数0.95840.96590.98290.9858汉明损失0.00850.00710.00840.0071F1 Micro0.95820.96570.98790.9899F1 Macro0.83610.87710.95300.9616F1 Weighted0.95740.96510.98770.9898精确率 Micro0.97490.97970.99200.9929精确率 Macro0.91990.93340.98230.9849精确率 Weighted0.97440.97940.99190.9928召回率 Micro0.94210.95170.98390.9869召回率 Macro0.79270.83810.92810.9413召回率 Weighted0.94210.95170.98390.9869准确率0.91590.93790.94610.95524.3 实体和关系抽取性能我们使用了通过第3.3节步骤构建的标注数据集。该数据集包含1,080条CVE漏洞描述含24,820个实体和43,608个关系。数据集按80:10:10比例划分为训练、验证和测试集。4.3.1 流水线方法在流水线方法的第一阶段我们使用BERT–BiLSTM–CRF架构提取实体。bert-base-cased编码器首先生成上下文嵌入然后通过隐藏大小为256的BiLSTM、全连接层和CRF层进行标签预测。训练进行10个轮次使用AdamW优化器最大序列长度256个词元学习率2×10⁻⁵批量大小16丢弃率0.1。所提出的CER模块在测试集上达到F1 micro 0.98F1 weighted 0.99F1 macro 0.86。第二阶段使用bert-base-uncased识别提取实体对之间的语义关系最大序列长度512个词元。模型训练一个轮次使用Adam优化器学习率1×10⁻⁵批量大小16每个全连接层前丢弃率0.2。流水线方法中的关系抽取RE系统达到F1分数0.99精确率0.9961召回率0.9960。CER和RE阶段的混淆矩阵见附录图7和图8。4.3.2 联合实体和关系抽取方法对于联合实体和关系抽取我们使用了基于跨度的实体-关系变换器[7]与CySecBERT。模型训练25个轮次批量大小2学习率2e-5线性预热0.1权重衰减0.01。应用了梯度裁剪1.0和丢弃率0.2最大跨度大小10。为平衡样本每批使用300个负实体和200个负关系候选跨度对限制为每文档750个关系阈值0.5。包含跨度大小嵌入25训练使用四个进程并行化。早停基于验证性能。对于实体抽取联合模型达到micro-F1 95.86macro-F1 88.20。此外我们在两种设置下评估了联合实体-关系模型的关系抽取性能NEC命名实体分类约束和非NEC仅跨度条件。在NEC设置中评估严格要求每个预测关系实例满足三个标准i两个实体跨度被正确识别ii实体类型被准确分类iii预测关系标签与金标准匹配。相比之下非NEC设置也称为“宽松”评估仅要求实体跨度和关系标签正确不强制实体类型分配的正确性。在这些设置下联合模型在非NEC场景中达到micro-F1 77.81和macro-F1 78.70在NEC场景中达到micro-F1 77.77和macro-F1 78.69。实体和关系的详细类别级性能以混淆矩阵形式呈现在附录图9和图10中。4.4 CVE-TTP知识图谱生成CVE-TTP KG的构建将实体和关系模型的输出转换为结构化三元组然后导入Neo4j进行可视化和分析。对于联合抽取模型预测以JSON格式存储包含词元、识别实体、关系及其跨度。这些输出被程序化转换为⟨头实体关系尾实体⟩三元组以语义表示实体间的连接。相比之下流水线模型生成由头实体、关系和尾实体组成的三元组不含跨度信息因为实体和关系预测在独立的顺序步骤中产生。对于KG生成任务我们使用相同的CVE描述来评估流水线和联合模型的性能。具体而言我们使用了未在任何模型训练阶段使用的50条漏洞描述来生成三元组。为演示目的我们使用CVE-2020-0617漏洞说明该过程“被识别为CVE IDCVE-2020-0617的漏洞描述为当主机服务器上的Microsoft Hyper-V Virtual PCI无法正确验证客户操作系统上特权用户的输入时存在拒绝服务漏洞也称为‘Hyper-V拒绝服务漏洞’。它与CWE IDCWE-20相关联。对于监控网络威胁活动的组织此漏洞与战术IDTA0003、TA0004、TA0005、TA0006和技术IDT1027、T1036.001、T1539、T1553.002、T1562.003、T1574.006、T1574.007对齐代表对安全措施的关键威胁需要立即关注。”图5流水线模型生成的CVE-TTP KG展示实体关联及语义不一致如泛化的战术-技术关系。流水线模型KG生成使用CER和关系抽取提取的⟨头实体关系尾实体⟩三元组被导入Neo4j进行KG构建和可视化。对于CVE-2020-0617漏洞流水线模型的KG图5包括关键实体如CVE-2020-0617漏洞标识符、CWE-20弱点分类、多个战术节点TA0005、TA0003、TA0004、TA0006和技术节点T1027、T1036.001、T1539、T1553.002、T1562.003、T1574.006、T1574.007。关系associated_with占主导地位将战术和技术链接到中心CVE节点。然而该模型常将语义准确的achieved_through关系指定战术如何通过技术实施替换为更泛化的associated_with关系。这种替换降低了映射程序化网络安全工作流程的粒度和语义精度。此外虽然流水线模型正确预测了CVE和CWE实体之间的has_weakness关系但将“Denial of Service”误分类为弱点而非正确归类为漏洞类型。这种误分类对表示漏洞影响产生不利影响而联合模型成功捕获了此上下文。图6联合模型生成的CVE-TTP KG包含CVE、CWE、产品、战术和技术实体具有语义精确的关系。联合模型KG生成或者联合抽取模型同时执行实体识别和关系抽取直接从文本预测⟨头实体关系尾实体⟩三元组无需中间实体配对。这种端到端推理减少了流水线架构中的错误传播并提高了抽取效率。生成的三元组被导入Neo4j进行KG构建。生成的KG以CVE-2020-0617图6为中心表示Microsoft Hyper-V Virtual PCI中由输入验证缺陷导致的拒绝服务漏洞。该节点连接到实体如CWE-20弱点类别、相关产品Microsoft Hyper-V Virtual PCI和影响类型拒绝服务。图通过战术节点TA0005、TA0003和技术节点T1027、T1539、T1533.002捕获了广泛的安全上下文反映了与MITRE对抗模式对齐的映射。提取的关系包括associated_with将CVE链接到战术和技术achieved_through指定战术如何通过技术或子技术执行has_weakness将CVE映射到弱点分类affects将漏洞链接到受影响产品以及has_impact表示漏洞的后果。这些关系形成了一个语义丰富且技术精确的结构强调攻击序列和漏洞影响尽管供应商或产品版本上下文的表示较少。与流水线KG相比联合模型生成了更紧凑和聚焦的KG具有强CVE到CWE和CVE到TTP边但显式的战术到技术连接较少。这一结果突显了一个权衡联合模型在端到端稳健提取核心漏洞和弱点映射方面表现出色同时在涉及攻击工作流的操作语义方面牺牲了一些粒度。虽然联合模型在不确定时通常预测None但它也在语义相似的实体类型之间表现出误分类。例如两个模型均未能正确识别供应商实体“Microsoft”和关联关系has_vendor ⟨Hyper-V Virtual PCI, has_vendor, Microsoft⟩。流水线模型完全省略了该实体和关系而联合模型错误地将“Microsoft Hyper-V Virtual PCI”分类为产品。这种行为反映了联合模型的集成预测机制在模糊上下文中努力联合分配最合理的标签与流水线模型倾向于省略困难预测形成对比。尽管存在这些误分类联合模型的统一方法减轻了实体和关系抽取子任务之间的错误传播这是流水线设计的常见局限。因此联合模型在全面KG生成中表现出更优的性能和鲁棒性特别是在具有相互依赖和重叠实体-关系语义的上下文中。5 结论软件漏洞的快速增长给网络安全团队带来挑战特别是在将漏洞与现实世界攻击行为关联方面。尽管CVE和NVD等数据库提供了技术细节但它们缺乏与战术和技术的连接限制了有效的威胁响应。在本工作中我们提出了CVE-TTP KG一个从CVE描述中提取网络安全实体和关系以构建结构化知识图谱的框架从而改进威胁分析。我们收集并映射了将CVE与弱点、战术和技术链接的数据并创建了两个数据集用于多标签分类和实体-关系抽取。使用CySecBERT我们在技术分类上达到宏平均F1 0.8771战术分类上达到0.9616。对于抽取流水线方法达到0.86实体和0.99关系而基于跨度的模型达到0.78。生成的知识图谱提供了漏洞-攻击关系的清晰表示支持更好的分析和缓解。未来工作包括集成大型语言模型以改进抽取并解决实体消歧和共指消解等挑战。解决模糊术语如“service”和指代如“it”或“this issue”将增强实体链接提高知识图谱在威胁建模中的准确性和有用性。