Neuer Classifier verdoppelt Recall@5 bei CVE-zu-ATT&CK-Mapping

Neuer Classifier verdoppelt Recall@5 bei CVE-zu-ATT&CK-Mapping

Ein neu vorgestellter Multi-Label-Classifier kann Common Vulnerabilities and Exposures (CVEs) automatisch auf MITRE ATT&CK-Techniken abbilden und erreicht dabei ungefähr eine Verdopplung der Recall@5 im Vergleich zu bisherigen Methoden. Der Grund für diesen Sprung liegt im direkten Training auf einem kuratierten Gold-Datensatz von 1.207 CVEs, deren Zuordnungen von Experten des MITRE Center for Threat-Informed Defense validiert wurden. Frühere Ansätze nutzten eine mehrstufige Ableitungskette: Aus der CVE-Beschreibung wurde zunächst eine CWE-Schwachstellenklasse abgeleitet, diese dann auf ein CAPEC-Angriffsmuster und schließlich auf eine ATT&CK-Technik übertragen. Bei jeder dieser Abbildungen entstehen Tabellen-Expansionsartefakte – Ungenauigkeiten und semantische Verzerrungen, die sich über die Stufen hinweg aufschaukeln. Der neue Classifier umgeht diese Kette vollständig und lernt stattdessen direkt aus den von Menschen validierten Mappings. Dadurch kann das Modell die relevanten Merkmale aus den Freitext-Beschreibungen präziser extrahieren und die Beziehung zur Angriffstechnik ohne Umwege modellieren. Die Recall@5-Metrik gibt an, wie oft die korrekte ATT&CK-Technik unter den ersten fünf Vorschlägen erscheint. Die Verdopplung dieser Kennzahl belegt, dass Sicherheitsteams mit dem Classifier deutlich zuverlässiger und schneller verstehen können, wie eine gemeldete Schwachstelle in realen Angriffen ausgenutzt werden könnte.

Trainiert auf Experten-Mappings und ohne CWE-Umweg

Der Classifier basiert auf einem reproduzierbaren Workflow, der CVE-Beschreibungen direkt auf ATT&CK-Techniken abbildet. Als Trainingsgrundlage dient ein Gold-Datensatz von 1.207 CVEs, deren Mappings von Experten des MITRE Center for Threat-Informed Defense validiert wurden. Der Ansatz verzichtet bewusst auf die traditionelle CWE→CAPEC→ATT&CK-Ableitungskette, deren Tabellen-Expansionsartefakte in der Arbeit erstmals quantifiziert werden. Zusätzlich untersucht die Studie systematisch die Grenzen LLM-gestützter Label-Erweiterung. Dabei zeigte sich, dass von großen Sprachmodellen generierte Labels häufig nicht die Präzision der Experten-Mappings erreichen und zu Label-Rauschen führen können. Diese Ungenauigkeiten beeinträchtigen die Klassifikationsqualität, da das Modell auf inkonsistenten oder semantisch verschobenen Zuordnungen trainiert würde. Die Ergebnisse unterstreichen daher den Wert des kuratierten Gold-Datensatzes und zeigen, dass eine direkte, auf validierten Mappings basierende Klassifikation einer LLM-gestützten Expansion überlegen ist. Der gesamte Workflow ist dokumentiert und reproduzierbar, sodass die Methodik auf andere Datensätze übertragen werden kann.