2025KDD-Honorable Mentions-Web Scale Graph Mining for Cyber Threat Intelligence

文章主要内容与创新点总结

一、主要内容

本文介绍了微软推出的工业级图挖掘框架TITAN（Threat Intelligence Tracking via Adaptive Networks），旨在解决现代网络安全领域中威胁情报生成面临的规模化、实时性和复杂性挑战。该框架构建动态多部分图，整合安全领域知识与多源遥测数据，通过声誉传播算法和模型校准，实现对未知威胁实体的风险评估。TITAN已集成到微软统一安全运营平台（USOP），在全球数十万组织部署，每周识别数百万高风险实体，显著提升了威胁检测与阻断效率，减少了安全漏洞造成的损失。

核心技术流程包括：

1. 构建动态五部分图（组织、事件、警报、实体、父实体），捕捉各组件间的层级关系；
2. 基于专家校验、检测规则和跨组织声誉引导，初始化节点声誉分数（0=良性，1=恶意，0.5=未知）；
3. 采用标签传播（LP）算法进行声誉传播，结合掩码机制固定高置信度标签，确保收敛稳定性；
4. 通过温度缩放校准声誉分数，提升概率解释性；
5. 每小时增量更新图数据，修剪过时边缘和节点，保障实时性与效率。

性能评估显示，TITAN在12个地理区域的平均宏F1分数达0.89，精确率-召回率AUC为0.94，威胁阻断精确率99%；部署后使USOP的事件阻断率提升21%，阻断时间缩短1.9倍，非文件威胁情报增长