使用检索增强大型语言模型生成攻击图
内容提要
本研究探讨大型语言模型（LLMs）在网络安全中的应用，特别是在攻击预测和解释方面。尽管LLMs在解释网络攻击技术上表现良好，但存在内在歧义。研究建议采用检索增强生成技术以提升模型表现，并强调LLMs在网络入侵检测系统中的潜力，尤其是在提供解释和支持威胁响应方面。
延伸解读
检索增强生成如何提升攻击解释能力
文章指出，直接使用解码器-LLM或仅对编码器-LLM进行监督微调，都无法准确解释网络攻击步骤。而将检索增强生成技术应用于解码器-LLM后，解释能力显著提升。这说明在攻击图生成任务中，单纯依赖模型内部知识可能不足，引入外部相关上下文能有效弥补模型在理解攻击者行动方法时的缺陷。
BaseLLMs与LLMs在攻击预测上的差异
研究发现，BaseLLMs在预测ATT&CK战术时表现得更集中和清晰，而LLMs则能提供更广泛的网络攻击技术解释。这种差异提示，在需要精确战术预测的场景下，BaseLLMs可能更合适；而在需要丰富解释以支持威胁响应时，LLMs更具优势。但LLMs预测中存在内在歧义，需进一步研究处理。
LLMs在入侵检测中的辅助定位
尽管LLMs在精确检测恶意网络流量上存在困难，但作为网络入侵检测系统的辅助工具，它们在提供解释和支持威胁响应方面展现出显著潜力。这意味着LLMs更适合扮演解释者和响应支持者的角色，而非直接替代传统检测模块。这一发现为LLMs在安全运营中的实际部署提供了务实的方向。
Q&A
大型语言模型在网络安全中的应用有哪些？
大型语言模型在网络安全中的应用包括攻击预测、解释网络攻击技术、支持威胁响应和网络入侵检测系统的辅助工具。
检索增强生成技术如何改善大型语言模型的表现？
检索增强生成技术通过提取相关上下文来改进解码器-LLM的表现，从而提升对攻击者行动方法的解释能力。
大型语言模型在攻击预测方面的表现如何？
研究发现BaseLLMs在预测ATT&CK战术方面表现更集中和清晰，而LLMs提供更广泛的网络攻击技术解释。
大型语言模型在网络入侵检测系统中的潜力是什么？
大型语言模型在网络入侵检测系统中展现出显著潜力，尤其是在提供解释和支持威胁响应方面。
使用大型语言模型进行网络安全研究面临哪些挑战？
使用大型语言模型进行网络安全研究面临的挑战包括内在歧义和对攻击步骤的准确解释困难。
未来大型语言模型在网络安全领域的研究方向是什么？
未来的研究方向包括处理TTP描述的内在歧义、改进模型的解释能力以及探索LLMs在新型攻击检测中的应用。
