本文提出一种自动化框架，用于从网络安全威胁情报（CTI）报告中提取可到达的攻击链。现有CTI提取方法主要关注指标、实体或TTP标签，但未建模每个攻击步骤的执行条件和结果状态，因此无法支持状态匹配或多阶段攻击链的可达性分析。该框架将每个攻击步骤建模为一个攻击单元，包含前置条件、攻击行为和后置条件。采用多阶段流水线，结合大语言模型（LLM）来提取攻击行为骨架、恢复前置和后置条件、归一化为预定义谓词并修复断裂依赖；最终将攻击单元编译为Datalog风格的规则，用于攻击目标可达性推理。在包含334个人工验证注释步骤的20份CTI报告数据集上，该框架在恢复攻击行为方面比代表性CTI提取系统实现了更高的注释步骤覆盖率。此外，通过显式生成前置和后置条件，它产生的攻击单元比端到端LLM基线更完整、更一致。在提取的链上，Datalog推理在20份报告中的19份中到达了指定的攻击目标，而后向搜索在生成的规则下产生了34条攻击路径。源代码和实验工件已以匿名形式提供。

该论文针对网络安全威胁情报（CTI）共享的实际效果进行了实证研究。虽然CTI共享被认为能够自动化威胁分析并提升安全意识，但缺乏对其类型分布和有效性的系统评估。作者提出了CTI-Lense框架，用于从多个公开CTI源收集和分析结构化威胁信息表达（STIX）数据，重点关注数据量、时效性、覆盖范围和质量。研究从2014年10月31日至2023年4月10日收集了来自十个数据源的约600万个STIX对象。分析发现：STIX数据共享量虽逐年稳步增长，但总体覆盖率仍较低；共享的威胁数据类型有限，恶意软件签名和URL占据90%以上；URL的共享时效性较好（约72%早于或等于VirusTotal），但恶意软件签名的共享明显滞后；此外，19%的威胁行为者数据包含错误信息，仅0.09%的指标数据提供了检测规则。基于这些发现，作者提出了改进STIX数据共享有效性和可扩展性的实践建议。该研究对安全运营团队、CTI平台设计者和政策制定者具有参考价值。

该论文研究了结构化网络威胁情报（CTI）在对手模拟、检测评估和网络靶场设计中的应用，重点探讨了目标系统测试环境（SUT）与公开CTI描述之间的语义差距。作者通过分析MITRE ATT&CK的STIX数据包（覆盖企业、移动、工业控制系统等场景），并与CAPEC和FiGHT数据集对比，评估了平台覆盖度、软件特异性、漏洞证据及部署兼容性。结果表明，平台标注较为常见，但软件引用中很少包含版本号或通用平台枚举（CPE）标识符。例如，在ATT&CK Enterprise数据中，97.6%的软件对象缺乏版本和CPE信息，且战役级别的CVE引用稀少。进一步分析发现，结构化CTI能够缩小候选环境范围并支持底层后端家族分配，但仅凭结构化字段不足以推导出可重放的SUT。当链接一个软件项时，配置文件混淆度为1.3%；链接两个软件项时降为0%。研究识别出数据集支持的环境细节与必须来自外部源的版本、漏洞和部署信息之间的边界。通过固定数据集支持的元素、仅变动分析人员输入的细节，可以生成多个不同的、与战役兼容的SUT，其中包括一个利用同一真实漏洞的可执行实验。因此，结构化CTI约束但并非唯一确定环境，强调在可重放模拟中需区分数据集支持的承诺与分析人员的假设。该研究适合安全分析师、红蓝队研究人员以及CTI平台开发者阅读，理解CTI在自动化对手模拟中的局限性和改进方向。

本文提出 KnowHow，一种自动化应用 CTI 报告高级知识的在线溯源分析方法。现有攻击检测系统（如溯源分析）依赖底层系统事件（文件访问、网络连接等），而 CTI 报告中的知识以自然语言形式（如 ATT&CK 技术）描述，两者之间存在语义鸿沟。手动关联耗时且易错。KnowHow 的核心是一种新的攻击知识表示——gIoC（graph of Indicators of Compromise），它抽象了攻击的主体、客体和动作。通过将系统标识符（如文件路径）提升为自然语言术语，KnowHow 能够将系统事件与 gIoC 匹配，进而与自然语言描述的技术关联。然后，基于匹配的技术，KnowHow 推理攻击步骤的时间逻辑，检测潜在 APT 攻击。实验使用开源和工业数据集，KnowHow 准确检测了全部 16 个 APT 活动，而现有方法均产生大量误报。同时，KnowHow 将节点级误报最多减少 90%，且节点级召回率更高，对未知攻击和模仿攻击具有鲁棒性。该方法有效地弥合了高级 CTI 知识与低级日志之间的鸿沟，提升了溯源分析的准确性和可解释性。