摘要
将高级持续性威胁（APT）活动归因于MITRE ATT&CK知识库中的战术和技术，有助于威胁狩猎和事件响应，但带标注的攻击数据十分稀缺。我们提出BiTTP，一种一致性验证的自训练框架，用于低资源条件下的APT战术与技术归因。一个标注器对未标注的审计追踪子图进行标注，伪标签仅在通过共识、置信度和跨视图一致性三道关卡时才会被保留。最后一道关卡将编码后的输入子图与预测技术对应的ATT&CK定义在双向对齐的空间中进行比较。双向数据生成、双视图对齐、检索增强的解码以及学习型注意力聚合器共同支撑这一循环。在生成的基准数据集和基于TREC的受控环境审计追踪基准数据集上，BiTTP达到了0.960的技术F1值和0.939的战术微F1值。在跨数据集迁移条件下，它保持了0.912的战术微F1值。最大的增益出现在标签极度稀缺的情况下：当每个战术仅有100个种子样本时，BiTTP的F1值超过了使用300个种子样本进行强微调的效果。跨视图一致性也是一个有效的开放集拒绝信号，可用于识别被保留的技术及其语义相邻的邻居技术。
