面向工业控制系统的漏洞到ATT&CK战术与技术映射框架：基于领域自适应大语言模型的VulnTACT方法

《Journal of Information Security and Applications》：VulnTACT: Predicting ATT&CK for ICS Tactics and Techniques from Vulnerability Information Using Domain-Adapted Large Language Models

　　

VulnTACT将工业漏洞映射为排序的ATT&CK攻击技术与影响。五步推理改进了基于证据的工业漏洞分析。检索与领域自适应提供了互补的性能增益。VulnTACT比最强基线高出7至12个百分点。预测结果在无法立即修补时支持风险优先级排序。

一、研究背景与问题

工业控制系统（ICS）的数字化转型在智能工厂、能源与核设施、交通运输系统以及水资源管理系统中持续加速。信息技术（IT）与运营技术（OT）的融合虽然提升了生产力和运营效率，但也使此前隔离的控制环境暴露于外部网络威胁。由于ICS直接连接物理过程，网络攻击不仅可能导致信息泄露，还可能造成设备损坏、运营中断和安全事故，使ICS成为高风险领域。远程访问、工业物联网设备和基于云监控平台的日益普及进一步扩大了ICS的攻击面，而许多遗留控制设备在设计之初并未考虑安全性，难以抵御现代网络威胁。从2010年Stuxnet到2025年加拿大黑客主义者滥用互联网可达ICS的一系列事件表明，ICS威胁已从定向恶意软件和侦察活动演变为远程访问入侵、供应链破坏和对互联网可达工业系统的攻击。

传统以漏洞为中心的网络安全分析主要关注已知漏洞、配置弱点和未修补资产。尽管这种视角对暴露评估至关重要，但漏洞记录本身通常不足以解释攻击者如何利用弱点、如何在ICS环境中推进攻击、以及如何造成运营或物理后果。CVE描述具体漏洞和受影响产品，CWE描述底层弱点类型，CAPEC代表通用攻击模式，而ATT&CK描述对抗行为和目标。这些知识源之间的关系既不完整也不总是可直接解释的。CVE到CWE的映射可能不完整或不准确，CAPEC与ATT&CK因分析目的不同而需要额外的上下文解释。因此，仅凭CVE描述很难确定漏洞如何实现控制器交互、未授权命令执行、工程工作站滥用或物理过程操纵。

现有研究虽已推进自动化漏洞到ATT&CK映射，但主要针对企业级ATT&CK或通用IT漏洞数据。已有工作尚未联合解决基于ICSA（CISA工业控制系统公告）的证据整合、面向ICS的ATT&CK推断、有限计算资源下的参数高效领域自适应以及ICS/OT场景中利用与运营影响的评估。这构成了一个重要的研究空白：缺乏一个面向ICS的、基于证据的、可追踪的、资源高效的漏洞到ATT&CK推断框架。

二、研究内容与结论

为填补上述空白，研究人员提出了VulnTACT框架，将MITRE的CVE映射方法论（CMM）的映射逻辑适配为自动化的ATT&CK for ICS推断。VulnTACT将CMM引导的推理过程实例化为面向ICS漏洞分析的五步大语言模型（LLM）提示链，中间步骤依次识别漏洞类型、启用的功能、利用技术、受影响对象和对抗战术，最终生成ATT&CK for ICS候选。输出按照CMM影响结构组织为利用技术、主要影响和次要影响三类。VulnTACT从ICSA、CVE、CWE、CAPEC和ATT&CK for ICS来源检索支持证据，并应用基于量化低秩自适应（QLoRA）的领域自适应，在有限计算资源下改进模型对ICS术语和漏洞到攻击关系的理解。检索提供漏洞特定的上下文证据，而领域自适应使模型与ICS网络安全语言和语义关系对齐。该分阶段工作流保留可检查的中间输出，并生成多个ATT&CK for ICS候选作为排序的多标签预测，而非强制单一确定性映射，从而支持分析师审查并保持预测与漏洞证据之间的可追溯联系。

VulnTACT的主要贡献包括：将CMM引导的映射过程适配到ATT&CK for ICS并实现为面向ICS漏洞分析的五步LLM推断工作流；开发了整合ICSA、CVE、CWE、CAPEC和ATT&CK for ICS知识的基于证据且资源高效的框架；将自动化漏洞到ATT&CK映射表述为保留多个合理解释、主要影响和次要影响候选的排序多标签任务；通过基线比较、组件消融研究、top-k排序指标、时间分离的2025年漏洞测试集和基于网络威胁情报（CTI）的评估案例对VulnTACT进行了全面评估。实验结果表明，VulnTACT在性能上比最强基线高出7至12个百分点，检索与领域自适应提供了互补的性能增益。

三、关键技术方法

研究人员构建了从五个公开维护的网络安全来源收集的知识库：CISA ICSA、美国国家漏洞数据库（NVD）、MITRE CWE、MITRE CAPEC和MITRE ATT&CK for ICS。数据收集于2026年4月21日完成。以ICSA公告为运营锚点，通过其中列出的CVE标识符作为直接链接键，经NVD API检索对应漏洞记录。CWE-CAPEC链接利用MITRE目录中提供的显式相关攻击模式关系建立。跨源整合采用显式标识符和目录关系而非词汇相似性。领域自适应语料库包含11,741条唯一源记录，其中7,592条CVE记录、2,470条ICSA公告、969条CWE条目、615条CAPEC条目、83条ATT&CK for ICS技术和12条战术。验证数据集包含2024年的1,742个以CVE为中心的实例，CTI测试数据集包含59个实例，近期漏洞测试数据集包含2025年的1,153个实例。研究人员使用Llama 3.1-Instruct-8B作为基础模型，采用QLoRA进行参数高效领域自适应，并采用两阶段推断过程：第一阶段通过五个中间提示识别漏洞类型、启用功能、利用技术、受影响ICS对象和对抗战术；第二阶段综合中间结果和检索证据生成并排序最终候选。

四、研究结果

4.1 知识收集与预处理结果

研究人员从五个来源收集并规范化了知识库。ICSA公告作为识别ICS相关漏洞的运营锚点，通过CVE标识符链接到NVD记录。被拒绝状态的CVE记录被排除，但保留其标识符、拒绝原因和与来源ICSA公告的关系作为溯源元数据。保留状态的CVE记录因缺乏公开漏洞描述也被排除。每条CVE记录通过NVD获取漏洞级信息，包括描述、关联CWE标识符、严重性信息和受影响产品元数据。CWE条目保留弱点标识符、名称、描述、弱点特征、常见后果和相关攻击模式信息。CAPEC条目保留标识符、名称、描述、前提条件、执行相关信息和潜在后果。ATT&CK for ICS作为独立的目标战术和技术知识目录维护，不自动从CWE或CAPEC关系继承标签。跨源整合保留原始源标识符和源特定文本字段，确保证据溯源可追踪。规范化处理移除非内容标记，统一Unicode字符、换行符和重复空白，并将标识符转换为一致格式。最终输出为包含规范标识符、源特定文本字段和显式ICSA-CVE-CWE-CAPEC关系的规范化证据库。

4.2 数据集构建结果

研究人员构建了四个数据资源：领域自适应语料库、验证数据集、CTI测试数据集和近期漏洞测试数据集。领域自适应语料库仅用于将基础语言模型适配到ICS网络安全术语和语义关系，不包含漏洞到ATT&CK参考标签。漏洞特定记录按披露年份进行时间划分：2010至2023年的记录分配给领域自适应语料库，2024年记录保留用于验证，2025年记录保留用于近期漏洞评估。CWE、CAPEC和ATT&CK for ICS作为通用分类和领域知识资源不进行时间划分。验证数据集包含1,742个以CVE为中心的实例，CTI测试数据集包含从Nozomi Networks Labs和爱达荷国家实验室（INL）发布的8个源文档中提取的59个实例，包含105个ATT&CK for ICS技术分配，覆盖44个唯一技术标识符，其中26个实例为多标签情况。近期漏洞测试数据集包含1,153个以CVE为中心的实例。验证和近期漏洞测试数据集使用银标签作为参考，CTI数据集使用CTI派生参考作为主要外部评估基准。

4.3 QLoRA领域自适应结果

研究人员使用Llama 3.1-Instruct-8B作为基础模型，采用QLoRA进行参数高效领域自适应。QLoRA将冻结的基础模型以低比特量化表示加载，同时训练添加的低秩适配器，显著减少需要更新和存储的参数数量。领域自适应的目标不是训练监督式漏洞到ATT&CK分类器，而是使模型适配ICSA公告、CVE描述、CWE弱点、CAPEC攻击模式和ATT&CK for ICS知识中出现的术语、实体和语义关系。验证和测试数据集的参考标签未用作领域自适应的优化目标。QLoRA的选择基于部署和实验约束，不意味着其普遍优于所有替代自适应方法。

4.4 推断与排序结果

VulnTACT的推断组件采用两阶段过程。第一阶段通过五个中间提示识别漏洞类型、启用功能、利用技术、受影响ICS对象和对抗战术。第二阶段综合中间结果和检索证据生成最终排序候选。检索增强生成（RAG）在推断时从外部证据源检索信息，为单个漏洞提供上下文证据。QLoRA使模型适配ICS网络安全术语和语义关系，而RAG提供漏洞特定的ICSA、CVE、CWE、CAPEC和ATT&CK for ICS证据。两者结合减少了对模型参数中编码每条源记录的需求，并使更新的或漏洞特定的证据能够支持最终预测。最终输出按照CMM影响结构组织为利用技术、主要影响和次要影响三类排序候选，保留多个合理解释供分析师审查。

五、讨论与结论

VulnTACT的讨论部分指出，漏洞到TTP映射并非旨在替代补丁管理、漏洞评分或专家评估，而是在直接修复不可用或不可行期间提供行为和运营上下文。这种额外上下文帮助分析师根据合理的对抗性使用对漏洞进行优先级排序，识别与预测技术相关的安全控制，并传达技术弱点的潜在运营意义。VulnTACT的贡献不在于单独引入CMM、LLM、QLoRA或RAG，而在于将这些组件整合用于以漏洞为中心的ATT&CK for ICS推断。与现有方法相比，VulnTACT同时纳入了ATT&CK for ICS特定标签、ICSA基础漏洞证据、参数高效ICS领域自适应、检索支持的推断以及跨CMM利用和影响类别的多标签预测。该框架支持分析师审查，通过保留合理替代方案并展示最终预测与可用漏洞证据之间的连接，为无法立即修补时的风险优先级排序提供支持。