跳转至

使用 GraphRAG 将网络威胁情报投入实战

文章背景与核心概要

当安全研究员发布网络攻击报告时，检测工程师面临着如何将其转化为可执行检测规则的挑战。传统的自动化方法通常依赖于简单的入侵指标（IoCs），如 IP 地址、域名和文件哈希，而攻击者在几小时或几天内就能轻松轮换这些指标（即“痛苦金字塔”（Pyramid of Pain）所揭示的局限性）。

本研究探讨了使用 Microsoft GraphRAG（一种知识图谱检索系统）代替标准向量相似度检索（朴素 RAG）是否能够生成更具持久性、韧性且位于痛苦金字塔更高层的检测方案。通过对一份 APT28 报告的详细案例研究，以及对来自四个厂商的九份真实 CTI 报告的广泛评估，研究结果表明：基于 GraphRAG 的系统能够持续生成更难被规避的检测机制，证明了知识图谱感知检索可作为自动化安全运营中心（SOC）威胁狩猎的最佳架构基础。

文档元数据

字段 详情
arXiv ID arXiv:2608.13050 [cs.CR]
学科分类 密码学与安全 (cs.CR); 人工智能 (cs.AI)
作者 Atul Kabra, Prakhar Paliwal, Manjesh K. Hanawal
提交时间 2026年8月13日
篇幅 12 页
DOI 10.48550/arXiv.2608.13050
许可证 知识共享署名 4.0 国际版 (Creative Commons Attribution 4.0 International)

摘要

当安全研究员发布关于网络攻击的报告时，检测工程师需要将其转化为有效的检测规则。在实践中，大多数对此进行的自动化尝试都只能从报告中提取最简单的线索——恶意的 IP 地址、域名和文件哈希——并将它们变成黑名单。这是一个薄弱的策略，因为攻击者可以在几小时或几天内更改这些简单的线索，导致生成的检测规则几乎在部署的同时就会失效。安全团队用“痛苦金字塔”（Pyramid of Pain）这一概念来描述这种现象。

本项目探讨了将报告输入知识图谱检索系统（即 Microsoft GraphRAG），而非标准的向量相似度检索系统（朴素 RAG），是否能产生更多依赖于金字塔顶端那些持久线索的检测方案。两个系统被提供相同的报告、相同的生成指令以及相同的语言模型来编写最终方案；唯一的区别在于检索步骤。

  • 案例研究结果： 在对一份 APT28 报告进行的详细案例研究中，当报告中的每个 IP 地址、域名和文件哈希都被轮换（替换）后，GraphRAG 方案的检测触发率仍保持在 100%，而朴素 RAG 方案的检测触发率仅保持在 29%。
  • 广泛评估： 对来自四个厂商的九份真实 CTI 报告进行重复对比，证实了相同的规律：GraphRAG 方案始终能够达到金字塔中更高、更难规避的层级，即使两个系统在总得分上最终相差无几。

这些结果支持将知识图谱感知检索视为自动生成可部署至 SOC 的狩猎方案的架构正确基础，同时也表明生成提示词的措辞几乎与检索后端本身同等重要。

When a security researcher publishes a report on a cyberattack, detection engineers are supposed to turn it into working detection rules. In practice, most automated attempts at this only extract the simplest clues from the report — bad IP addresses, domain names, and file hashes — and turn them into block lists. This is a weak strategy, because attackers can change these simple clues within hours or days, so the resulting detections stop working almost as soon as they are deployed. Security teams describe this idea with the Pyramid of Pain.

This project asks whether feeding a report into a knowledge-graph retrieval system, Microsoft GraphRAG, rather than a standard vector-similarity retrieval system (Naive RAG), produces detection plans that rely more on these durable, top-of-pyramid clues. Both systems are given the same report, the same generation instructions, and the same language model to write the final plan; only the retrieval step differs.

  • Case Study Results: In a detailed case study of one APT28 report, the GraphRAG plan kept firing at 100% of its detections after every IP address, domain, and file hash in the report was rotated, while the Naive RAG plan kept firing at only 29%.
  • Broad Evaluation: Repeating the comparison across nine real CTI reports from four vendors confirms the same pattern: GraphRAG plans consistently reach higher, harder-to-evade levels of the pyramid, even when the two systems end up close on total score.

The results support treating knowledge-graph-aware retrieval as the architecturally correct foundation for automatically generating SOC-deployable hunting plans, while showing that the wording of the generation prompt matters almost as much as the retrieval back-end itself.

访问与资源

Access & Resources