KnowCTI 論文閱讀分析：用知識增強方式抽取 CTI 實體與關係

論文基本資訊

• 論文標題：KnowCTI: Knowledge-based cyber threat intelligence entity and relation extraction
• 來源：Computers & Security
• 年份：2024
• 論文頁面：https://www.sciencedirect.com/science/article/pii/S0167404824001251
• 主題：CTI、entity extraction、relation extraction、knowledge-based modeling、threat profiling

KnowCTI: Knowledge-based cyber threat intelligence entity and relation extraction 這篇論文聚焦在 CTI 自動化分析裡非常核心的一塊：如何從威脅情資報告中抽出實體與關係。對 CTI 來說，若不能穩定抽出威脅組織、惡意工具、攻擊技術、受害對象與彼此之間的關聯，就很難往後走到知識圖譜建構、趨勢分析、威脅歸因或攻擊組織分析。

這篇研究之所以值得注意，在於它不是只把 CTI 當成一般文字抽取任務，而是強調 knowledge-based 的觀點，也就是在模型中導入領域知識，讓模型對資安語境與威脅語意有更好的理解能力。作者想解決的不是單純「抽得到」，而是希望抽得更準、更完整，也更能呈現出威脅全貌。

研究問題：這篇論文想解決什麼？

CTI 報告裡通常包含大量有價值的資訊，例如：

• 攻擊組織名稱
• 惡意程式與工具
• 漏洞資訊
• 攻擊技術與 TTP
• 受害對象與攻擊目標
• 這些實體彼此之間的關聯

問題在於，這些資訊多半存在於自然語言敘述中，而且充滿技術術語、縮寫、別名與上下文依賴。若只靠一般 NER 或一般關係抽取模型，往往會遇到幾個問題：

• 模型對資安術語理解不足
• 難以同時兼顧實體與關係的完整性
• 抽出結果零散，無法呈現完整威脅圖像
• 面對大量 CTI 報告時，人工整理成本很高

因此，這篇論文的核心問題是：能否利用知識增強方式，提升 CTI 報告中的實體與關係抽取品質，讓最終結果更完整地呈現威脅圖像與攻擊趨勢？

這篇論文的核心想法：Knowledge-based CTI Extraction

從論文公開資訊來看，作者的核心主張是：若要讓 CTI entity / relation extraction 更準，不能只依賴一般語言模型，而要讓模型具備更好的資安知識理解能力。

這也是論文標題裡 Knowledge-based 的意義。它代表這篇研究的方向，不只是讓模型從語料中自己摸索，而是透過知識導入，強化模型對 CTI 報告的理解。

根據摘要描述，作者強調這種方法的幾個優點：

• 讓模型更理解資安文本
• 使 entity 與 relation extraction 能更完整呈現威脅全貌
• 進一步支援大規模報告中的攻擊趨勢分析與攻擊組織 profiling

為什麼 CTI 的實體與關係抽取特別難？

這類任務看起來像一般資訊抽取，但實際上比一般新聞或商業文本複雜得多。原因至少包括：

• 實體類型複雜，且高度領域化
• 同一個實體可能有多種名稱、別名或代稱
• 關係不一定直接寫出來，常藏在上下文中
• 報告中同時混雜技術細節、背景描述與分析性文字

也就是說，CTI 抽取不只是辨識 token，而是需要結合安全知識與上下文推理。這也是為什麼作者要強調知識導向的建模方式。

這篇論文為什麼重要？

CTI 的自動化處理通常有一條很明確的鏈條：

CTI report
  ↓
Entity extraction
  ↓
Relation extraction
  ↓
Knowledge graph / threat representation
  ↓
Threat profiling / trend analysis / attribution support

如果最前面的 entity / relation extraction 不穩，後面的分析品質自然也會下降。因此，這篇論文的重要性在於，它處理的是整條自動化 CTI 分析鏈裡最基礎、也最關鍵的一步。

簡單說，這篇研究的價值不是只在抽幾個標籤，而是在為後續的知識圖譜與威脅分析建立基礎。

這篇論文的應用價值

從摘要與論文定位來看，KnowCTI 的應用方向至少包括：

• 建構更完整的威脅圖像：讓實體與關係不只是零散結果，而能拼成完整攻擊脈絡
• 攻擊趨勢分析：從大量報告中整理哪些攻擊技術與組織正在變化
• 攻擊組織 profiling：從不同報告裡建立 APT group 的特徵輪廓
• 支援知識圖譜建構：作為後續 CTI knowledge graph 的上游模組

這代表 KnowCTI 並不是一篇只停留在抽取任務本身的論文，而是更像在解決後續整個威脅知識工程流程中的關鍵前處理問題。

和 CTINexus、RAGIntel、Actionable CTI 的關係

如果把你目前這批文章放在一起看，KnowCTI 剛好補上一塊很重要的拼圖：

• CTINexus 強調用 LLM 建構 CTI knowledge graph
• RAGIntel 強調用 RAG 做攻擊調查
• Actionable CTI using KG + LLM 強調從非結構化 CTI 到 Knowledge Graph
• KnowCTI 則更聚焦在這些流程最上游的資訊抽取品質

也就是說，KnowCTI 的位置很像是整條管線中的基礎抽取引擎。若這一步做得好，後續知識圖譜、RAG、威脅分析與歸因都會更穩。

這篇論文真正的重點是什麼？

如果要把這篇論文濃縮成一句話，它最重要的訊息是：

在 CTI 實體與關係抽取任務中，單靠一般文字模型往往不夠，若能導入知識增強，模型才更有機會抽出完整、可分析、可支撐威脅輪廓建構的結果。

這點其實非常重要。因為它提醒我們，CTI 不只是 NLP 問題，而是 NLP + 資安知識建模 的交叉問題。若忽略後者，模型表面上也許抽到了資訊，但很可能抽得不夠準、不夠完整，或無法支撐後續的安全分析。

重點整理

• KnowCTI 聚焦在 CTI 實體與關係抽取。
• 作者強調 knowledge-based 的方法，以提升模型對資安文本的理解。
• 研究目標不只是抽資訊，而是更完整地呈現威脅全貌。
• 這篇論文的價值在於，它為後續 CTI knowledge graph、攻擊趨勢分析與威脅 profiling 打下基礎。
• 它在整個 CTI 自動化流程中，屬於非常關鍵的上游任務。

Takeaway

這篇論文最值得記住的一點，是它點出了 CTI 自動化的一個基本事實：若沒有高品質的 entity 與 relation extraction，再好的知識圖譜、RAG 系統或威脅分析模型都很難站得穩。

從 CTI 與 AI 的交會角度來看，KnowCTI 的意義在於，它提醒我們不能只追逐更大的模型或更炫的圖系統，還必須先把最基礎的知識抽取工作做好。只有這一步夠穩，後面的威脅理解、攻擊輪廓建構與情資分析才有真正的實務價值。

免責聲明

本文由 AI 整理與撰寫，內容主要依據公開論文、技術文件與可取得之研究資料進行彙整、解讀與摘要。儘管已盡力確保內容之完整性與可讀性，仍可能因模型理解限制、資料來源差異或語意轉譯過程而存在疏漏、不精確或更新延遲之處。本文內容僅供研究交流與知識分享參考，實際技術細節、實驗設定與最終結論，仍應以原始論文、官方文件及作者公開資料為準。