GoodFATR的兴起：一种用于指标提取工具精度比较的新方法
密码学与安全
2023-03-09 v2
摘要
为适应不断演变的网络威胁态势，各机构迫切需要收集失陷指标（IOCs），即表明主机或网络可能已被攻陷的法证工件。IOCs可通过开源和商业结构化IOC订阅源收集，也可从以自然语言撰写、并通过博客和社交媒体等多种来源分发的海量非结构化威胁报告中提取。现有多种指标提取工具可识别自然语言报告中的IOCs，但由于难以构建大规模真实标注数据集，比较其精度十分困难。本文提出一种新颖的多数投票方法，用于比较指标提取工具的精度，且无需人工构建真实标注。我们将该方法实现为GoodFATR——一个自动化平台，可从丰富来源收集威胁报告，使用多种工具从收集到的报告中提取IOCs，并比较其精度。GoodFATR支持6种威胁报告来源：RSS、Twitter、Telegram、Malpedia、APTnotes和ChainSmith。GoodFATR持续监控这些来源，下载新威胁报告，从收集到的报告中提取41种指标类型，并过滤非恶意指标以输出IOCs。我们运行GoodFATR达15个月，从6个来源收集472,891份报告，从中提取978,151个指标，并识别出618,217个IOCs。我们分析所收集数据以确定主要IOC贡献者和IOC类别分布。我们应用GoodFATR比较了7种流行开源工具与GoodFATR自身指标提取模块的IOC提取精度。
引用
@article{arxiv.2208.00042,
title = {The Rise of GoodFATR: A Novel Accuracy Comparison Methodology for Indicator Extraction Tools},
author = {Juan Caballero and Gibran Gomez and Srdjan Matic and Gustavo Sánchez and Silvia Sebastián and Arturo Villacañas},
journal= {arXiv preprint arXiv:2208.00042},
year = {2023}
}