一种将内核级遥测映射至 MITRE ATT&CK 的基于图方法

将观测到的系统行为映射至 MITRE ATT&CK 等标准化框架，对于威胁知情防御至关重要，但这一过程目前仍主要依赖人工完成。现有的自动化方法依赖网络威胁情报报告，而此类报告仅提供对攻击活动的事后描述。相比之下，低层级遥测数据，即内核级系统调用，能够直接提供对攻击者行为的证据，但其规模和复杂性限制了其在自动化映射中的应用。我们提出了一种方法，通过 eBPF 收集内核级事件，将攻击者命令关联起来构建溯源图，并提取适用于基于 LLM 推理的紧凑图表示。随后，我们结合纯 LLM 提示和以 ATT&CK 知识库为基础的检索增强生成（RAG），将这些表示映射至 MITRE ATT&CK 框架，生成按排名排列的技术候选项及其支持性理由。我们将该方法实现为名为 Trace2ATT&CK 的端到端流水线，并使用本地部署的开放权重 LLM，在 347 个 Linux Atomic Red Team 测试上对其进行评估。与纯提示相比，RAG 持续提升了 ATT&CK 映射性能；与此同时，溯源图的表现显著优于原始遥测数据。结果表明，基于图的行为描述结合本地推理，能够在不损害数据机密性的前提下，使基于内核级遥测数据的自动化 ATT&CK 映射具备实际运行可行性。