Come funziona TIEF, il nuovo cervello che legge i report di cyber‑minaccia?

Il mondo digitale è sempre più invaso da attacchi informatici complessi. Per difendersi, le aziende hanno bisogno di capire rapidamente le tattiche, le tecniche e le procedure (TTP) usate dagli hacker. Fino a poco tempo fa, estrarre queste informazioni da report testuali era un lavoro manuale, lento e soggetto a errori. È qui che entra in gioco il Threat Intelligence Extraction Framework, o TIEF.

TIEF è un sistema basato su intelligenza artificiale che legge automaticamente i report di minaccia e individua gli Indicatori di Compromissione (IOC), come indirizzi IP sospetti o hash di file maligni. Il cuore del motore è DistilBERT, una versione più leggera del famoso modello BERT, che riesce a classificare 560 classi MITRE ATT&CK con un F1 di 0,933, usando il 40% di parametri in meno rispetto a BERT‑base.

Ma TIEF non si ferma alla semplice classificazione. Grazie a BERTopic, raggruppa i paragrafi con significato simile, catturando le diverse sfumature narrative dei report. Il risultato è una rappresentazione standardizzata in formato STIX 2.1, pronta per essere condivisa tra le piattaforme di sicurezza. In pratica, TIEF permette di trasformare un documento tecnico in una mappa dettagliata delle mosse dell’avversario, facilitando la risposta rapida e mirata. Un vero salto di qualità per la cyber‑difesa, che rende più veloce e preciso il lavoro degli analisti di sicurezza.

Il modello DistilBERT alla base di TIEF è stato ottenuto mediante distillazione del knowledge da BERT‑base, riducendo il numero di parametri da 110 M a circa 66 M senza perdere più del 3% di accuratezza. Questa compressione è cruciale per l’implementazione in ambienti con risorse limitate, come i SOC (Security Operations Center) on‑premise. La fase di multi‑label classification sfrutta una loss function basata su Binary Cross‑Entropy con pesi inversi alla frequenza delle classi, mitigando il problema dell’imbalanced data tipico dei dataset MITRE ATT&CK, dove le tecniche più comuni (es. Phishing) dominano rispetto a quelle rare (es. Exploit Public‑Facing Application).

BERTopic, integrato in TIEF, utilizza embeddings di sentence‑transformers per generare una matrice di similarità, seguita da clustering HDBSCAN. Questo approccio consente di identificare gruppi di frasi con contesto semantico condiviso, facilitando l’estrazione di sotto‑tecniche (sub‑techniques) e la loro mappatura su ATT&CK. Inoltre, TIEF traduce gli IOC estratti in STIX 2.1, rispettando gli standard di serializzazione JSON e le relazioni tra oggetti (Indicator, Relationship, Attack‑Pattern). Il risultato è un bundle interoperabile, pronto per l’ingestione in piattaforme come MISP o OpenCTI, migliorando la condivisione di intelligence a livello nazionale e internazionale.

Dal punto di vista computazionale, TIEF è stato ottimizzato per l’esecuzione su GPU Nvidia RTX 3080, con un throughput medio di 12 report al minuto, mantenendo latenza inferiore a 500 ms per singola inferenza. Questo rende il framework adatto sia a scenari di batch processing (analisi retrospettiva) sia a pipeline in tempo reale, dove la rapidità è fondamentale per contenere una minaccia emergente.