《Symmetry》：GRAL: A GNN-RAG-LLM Framework for Intelligent Cybersecurity Alert Correlation and Analysis
编辑推荐：
在关键基础设施环境中，网络安全态势感知平台会产生大量告警，其中包括大量误报，给安全分析师带来沉重负担。目前，告警关联方法主要依赖基于规则的匹配或统计聚类，而大语言模型往往缺乏可靠安全分析所需的领域特定威胁情报。该论文提出GRAL，这是一种人工智能驱动框架，结合
在关键基础设施环境中，网络安全态势感知平台会产生大量告警，其中包括大量误报，给安全分析师带来沉重负担。目前，告警关联方法主要依赖基于规则的匹配或统计聚类，而大语言模型往往缺乏可靠安全分析所需的领域特定威胁情报。该论文提出GRAL，这是一种人工智能驱动框架，结合了用于跨资产时序告警关联的图神经网络（GNN）、用于动态威胁情报增强的检索增强生成（RAG）以及用于语义推理和判决生成的大语言模型（LLM）。一个时序异构图注意力网络在72小时滑动窗口内构建告警关系图，捕获时间衰减和多关系依赖。借助bge-m3嵌入和密集向量索引，RAG模块检索余弦相似度阈值超过0.75的最相关威胁情报条目。构建了一个来自核电站运营环境的1000个标注安全告警的领域特定数据集，Cohen's Kappa达到0.87。实验表明，GRAL实现了宏平均精确率87.0%、宏平均召回率97.0%、二元误报率9.1%，以及92.5%的告警压缩率。通过在CICIDS2017（93.0%准确率和92.5% F1分数）和UNSW-NB15（89.4%准确率和89.8% F1分数）上的跨数据集评估，验证了泛化能力。
**论文解读文章**
**研究背景与问题**
在关键基础设施环境中，网络安全态势感知平台会生成大量告警，其中包含大量误报，给安全分析师带来沉重负担。当前告警关联方法主要依赖基于规则的匹配或统计聚类，难以捕捉跨资产、跨时间的行为链；同时，大语言模型（LLM）缺乏领域特定的威胁情报，导致可靠分析能力不足。为应对告警过载、孤立分析和知识差距三大挑战，研究人员提出了GRAL框架，该框架发表于《Symmetry》期刊。GRAL通过集成图神经网络（GNN）、检索增强生成（RAG）和LLM，实现了跨资产时序告警关联、动态威胁情报增强和语义推理判决，显著提升了告警分析效能。在核电站运营环境中构建的1000个标注安全告警数据集上，Cohen's Kappa达到0.87；实验表明GRAL在宏平均召回率97.0%、二元误报率9.1%、告警压缩率92.5%等指标上表现优异，并在CICIDS2017和UNSW-NB15等公开基准上验证了跨域泛化能力。该研究为网络安全告警分析提供了一种集成化、智能化的统一框架，具有重要的理论价值和实践意义。
**关键技术与方法**
研究人员采用的主要关键技术方法包括：
1. **时序异构图注意力网络（TH-GAT）**：在72小时滑动窗口内构建包含告警节点、IP节点和资产节点的异构图，通过时间衰减编码和多头注意力机制捕获跨资产、跨时间的关系依赖。
2. **检索增强生成（RAG）模块**：基于bge-m3嵌入模型（1024维）和HNSW密集向量索引，从包含约8200条威胁情报（MITRE ATT&CK、CVE、IOC）的知识库中检索余弦相似度>0.75的条目，动态注入LLM上下文。
3. **大语言模型（LLM）微调**：以Qwen3-32B-AWQ为基础模型，采用LoRA（低秩适配）参数高效微调，仅更新约0.25%参数，在NVIDIA H20 GPU上训练。
样本队列来源包括：核电站运营环境（1000个标注告警）以及公开数据集CICIDS2017（经HTTP过滤后228.6万条记录）和UNSW-NB15（经HTTP过滤后22.5万条记录）的平衡子集（各5000样本）。
**研究结果**
**4.1 实验设置**
实验在Intel Xeon Platinum 8480+处理器、512GB RAM和NVIDIA H20 GPU上进行，使用PyTorch 2.1等软件栈。所有实验重复5次随机种子，报告均值和标准差。每条告警平均处理延迟为1.82秒（图关联0.23秒、RAG检索0.41秒、LLM推理1.18秒）。
**4.2 数据集**
使用三个数据集：核电站数据集（NP，1000个标注告警）、CICIDS2017（HTTP过滤后保留228.6万条，含6种攻击+Benign类）、UNSW-NB15（HTTP过滤后保留22.5万条，含7种攻击+Normal类），均从过滤后数据中分层抽样5000样本用于评估。
**4.3 评估指标**
采用标准分类指标（准确率、精确率、召回率、F1分数）和领域特定指标（告警压缩率、误报率）。精确率、召回率和F1分数报告为8个类别的宏平均（包括误报/正常类）。告警压缩率通过将相关告警分组为攻击战役计算，核电站数据集上1000条原始告警被压缩为75个战役，压缩率92.5%。
**4.4 基线方法**
选取5种内部基线（随机森林、LLM-Only、RAG+LLM、GNN+LLM、GNN+RAG）和4种外部SOTA方法（Graph Transformer、Temporal GNN、GraphSAGE、GraphRAG）进行比较。
**4.5 主要结果**
在核电站数据集上，GRAL取得宏平均F1分数91.7%、宏平均召回率97.0%，二元误报率9.1%。相比外部最佳基线GraphRAG（F1=88.4%），GRAL绝对提升3.3个百分点。GNN组件对告警压缩贡献最大（92.5% vs 78.3%），RAG组件对精确率提升最大（87.0% vs 78.3%），LLM微调对召回率影响最大（97.0% vs 80.0%）。
**4.6 跨域泛化**
在CICIDS2017上，GRAL准确率93.0%、F1分数92.5%，优于内部最佳基线RAG+LLM（87.7%准确率）。在UNSW-NB15上，GRAL准确率89.4%、F1分数89.8%，优于内部最佳基线GNN+LLM（74.5%准确率）。表明框架在非核电站领域也具备良好泛化能力。
**4.7 消融实验**
移除GNN导致告警压缩率从92.5%降至78.3%；移除RAG导致精确率从87.0%降至78.3%；移除LLM微调导致召回率从97.0%降至80.0%。证实三个组件分别针对告警压缩、精确判决和召回率发挥了互补作用。
**4.8 组件优势分析**
GNN相比传统聚类方法在多阶段攻击检测（+46.2个百分点）和攻击阶段识别（+27.4个百分点）上优势显著。RAG增强在IOC情报匹配上提升85.0个百分点，表明仅靠参数化LLM知识不足以识别威胁指标。
**4.9 与商业系统比较**
相比商业安全分析平台（8×RTX 4090），GRAL（1×H20）在真实攻击召回率上更高（97% vs 84%），硬件成本约降低8倍，功耗降低5倍。
**4.10 参数敏感性分析**
RAG相似度阈值τ=0.75时取得最佳平衡（检索精确率88.8%、召回率75.2%，LLM F1分数91.7%）。节点嵌入维度d=128时F1分数91.7%，继续增加维度收益递减且训练/推理时间显著增加，故选择d=128。
**总结与讨论**
**结论**（翻译自论文Section 5）：该论文提出GRAL，一种统一的人工智能驱动框架，用于网络安全告警关联与分析。GRAL集成了时序异构图注意力网络（TH-GAT）用于跨资产告警关联、检索增强生成（RAG）用于威胁情报增强、以及大语言模型（LLM）用于语义推理和结构化判决生成。TH-GAT模块使用显式时间衰减捕获安全告警之间的多关系依赖，RAG模块提供相关外部知识支持LLM推理。该框架实现了宏平均召回率97.0%、二元误报率9.1%、告警压缩率92.5%，并在评估的公开基准上表现强劲。局限性包括：核电站数据集样本量较小（1000个）；威胁知识库可能未覆盖新型或高度具体的攻击技术；公开基准限于HTTP相关流量，非Web协议和网络层攻击（如FTP、SSH、端口扫描、UDP/SYN洪水）的性能尚未验证。未来工作将优化推理效率（模型蒸馏、推测解码、缓存）、通过主动学习扩展垂直领域数据集、并评估在其他关键基础设施（电网、水处理、交通）中的适用性。
