基于证据的检索：从 CTI 报告中生成调查狩猎线索

威胁狩猎日益依赖于将非结构化知识（例如网络威胁情报报告）转化为可执行的狩猎线索：这些线索应是简洁、可调查的假设，并以可观测工件和对手技术为依据。手动生成此类线索既繁琐又难以扩展。现有的自动化方法往往止步于实体层，忽略防御方的运营环境，并且孤立地分析每份报告。为弥补这些不足，我们提出了 AHLERT。该系统通过以下方式自动从威胁报告中提取相关、具备环境感知能力的狩猎线索：（i）一种混合检索器，将稠密向量搜索与基于 MITRE ATT&CK 种子的知识图谱多跳遍历相结合；（ii）一种基于本体落地的检索增强生成方法，将每条线索约束在防御方自身的资产和控制措施范围内；以及（iii）一个与 LLM 无关的框架，输出结构化且可直接执行的线索，而非宽泛的失陷指标。我们使用面向多个知名 APT 的公开 CTI 报告，在多种专有模型和开放权重模型上对 AHLERT 进行了评估。与单路平面 RAG 基线相比，结合本体落地的混合证据检索将平均 F1 提升了约 2 倍（从 0.44 提升至 0.85）；与现成的 LLM 模型相比，AHLERT 达到了最高的有效性得分（约 86.95%）。