Security-TTP-Mapping
קוד פתוחtumeteorcc2024-01-22
המאגר ממפה טקסטים על איומי סייבר ליותר מ־600 טקטיקות וטכניקות של MITRE ATT&CK. הוא נבנה במיוחד לאימון מודלים של סיווג רב-תוויתי מדוחות אבטחה אמיתיים.
- 264הורדות בחודש
- 30לייקים
מה זה
הנתונים מגיעים משלושה מקורות שונים שמחולקים מראש לתיקיות אימון, פיתוח ומבחן. המקור הראשון מבוסס על פרויקט TRAM של CTID, שעבר ניקוי כפילויות, סינון טקסטים קצרים ורעש, ומיפוי מחדש לגרסה 12 של מסגרת MITRE.
המקור השני כולל דוגמאות נוהל ישירות ממאגר CTI של MITRE ללא תגיות עיצוב, לצד פסקאות מקוריות שנקצרו מתוך קישורי רשת של אותם נהלים. המקור השלישי, חלק המומחים, מורכב מפסקאות נבחרות מתוך דוחות מודיעין איומים שתוייגו ידנית בידי אנשי אבטחה, כשבחלק הבדיקה יש בממוצע כארבע תוויות לכל טקסט.
מתאים ל
- סיווג דוחות מודיעין
אימון מסווגים לחילוץ אוטומטי של טכניקות תקיפה מתוך פסקאות טקסט חופשי.
- בדיקת ביצועי מודלי שפה
הערכת היכולת של מודלים להתמודד עם סיווג היררכי רב-תוויתי בעולם הסייבר.
- השוואת דמיון טקסטואלי
אימון מודלי שיקוע לקשר בין תיאורי אירועים לבין נהלי תקיפה רשמיים.
איפה זה נופל
כל הטקסטים כתובים באנגלית בלבד ועוסקים בנוזקות ובדוחות אבטחה, לכן הם לא יתאימו לטקסטים בעברית ללא התאמה ייעודית. מעבר לכך, המיפוי נשען ספציפית על גרסה 12 של ATT&CK ומכיל מעל 600 מחלקות שונות, מה שמייצר חוסר איזון מובנה בחלק מהקטגוריות הנדירות. הטקסטים כוללים שמות ודפוסי תקיפה שעלולים להשתנות עם הזמן.
שאלות
נפוצות
האם מותר להשתמש בדאטהסט הזה במוצר מסחרי?
הכרטיס מציג מידע סותר לגבי הרישיון. הטקסט מצהיר על CC BY 4.0 שמאפשר שימוש מסחרי עם ייחוס, אך תג הרישיון בראש העמוד מציג CC BY-NC-SA שאוסר מסחור. בגלל הספק המשפטי הזה, עדיף להגביל את השימוש למחקר או לפנות ליוצרים לפני שילוב במערכת מסחרית.
האם הדאטהסט כולל טקסטים בעברית?
המאגר כולל טקסטים בשפה האנגלית בלבד, בדיוק כפי שהם מופיעים בדוחות מודיעין בינלאומיים ובמסמכי MITRE. אין בו נתונים מתורגמים או דוחות שמקורם בעברית. כדי להשתמש בו לניתוח טקסטים מקומיים, תצטרכו לתרגם את הנתונים או להשתמש במודל רב-לשוני מתאים.
כמה רשומות יש במאגר ואיך הן מגיעות?
האוסף מכיל בין 1,000 ל־10,000 רשומות שמחולקות בין 15 קבצי TSV שונים. הוא מחולק מראש לסטים של אימון, פיתוח ומבחן עבור שלושה תת-מאגרים שונים. המבנה הזה מקל על טעינה ישירה ללא צורך בחלוקה ידנית.
מה מייחד אותו מול מאגרים אחרים של MITRE ATT&CK?
במקום להישען רק על הגדרות רשמיות, המאגר משלב פסקאות מקור מתוך קישורים חיצוניים ודוחות אבטחה שנבדקו על ידי מומחים. בנוסף, כל הנתונים עברו ניקוי, סינון רעשים ומיפוי מחדש לגרסה 12 של המסגרת. זה נותן נתוני אימון שקרובים יותר לטקסטים גולמיים שמגיעים מהשטח.
איך טוענים
המאגר פתוח לגישה ישירה ומכיל 15 קבצים בפורמט TSV שמסודרים לפי תת-מאגרים כמו נהלים, נהלים נגזרים ונתוני מומחים. גודל האוסף נע בין 1,000 ל־10,000 רשומות, כך שאפשר לטעון אותו מהר ישירות לתוך סקריפטים של פנדס או ספריות למידת מכונה בלי תלויות כבדות. השדות העיקריים הם טקסט התיאור ותוויות המזהים ההיררכיים של הטכניקות.
from datasets import load_dataset
ds = load_dataset("tumeteor/Security-TTP-Mapping")הרישיון
יש אי-התאמה בכרטיס המאגר. בטקסט עצמו ובשדה הרישיון המרכזי מוגדר רישיון CC BY 4.0 שמתיר שימוש מסחרי בכפוף למתן קרדיט. עם זאת, התג הגרפי בראש העמוד מציין CC BY-NC-SA 4.0, שאוסר שימוש מסחרי ומחייב שיתוף זהה. בגלל הסתירה הזו, לא הייתי מכניס את הנתונים ישירות למוצר מסחרי בלי לברר קודם את כוונת היוצרים.