RHINO: Guided Reasoning for Mapping Network Logs to Adversarial Tactics and Techniques with Large...

RHINO 论文核心总结与翻译

一、主要内容总结

研究背景与问题

现有网络入侵检测系统（NIDS）会产生海量低层级告警，但这些输出语义碎片化，需人工关联高层级对抗行为，效率低且易出错（分析师误分类率高达30%）。当前自动化映射方案存在缺陷：规则基方法无法适配新型攻击变体；机器学习方法缺乏上下文感知，将战术-技术（TT）映射视为句法匹配而非推理任务；现有大语言模型（LLM）方法因单步分类易产生技术名称幻觉或去上下文映射（约24%无效预测）。

核心方案：RHINO框架

RHINO 是一种模仿人类推理流程的多阶段LLM驱动框架，将攻击分析拆解为三个可解释阶段，解决低层级观测与对抗意图间的语义鸿沟：

1. 行为抽象：将原始日志转换为含上下文的行为描述（如“单个IP的快速连续SSH登录失败”），保留IP关系、协议语义等关键上下文；
2. 多角色协同推理：结合MITRE ATT&CK知识库，通过网络分析师、威胁情报专家、验证者等角色分工，生成候选技术（如T1110暴力破解），减少偏见与幻觉；
3. 验证优化：对照MITRE官方定义交叉验证候选结果，修正幻觉（错误率降低4.9%）并按置信度排序。

框架还包含预处理模块（日志压缩与特征提取，数据量减少83.5%）和置信度感知优化模块，确保输出可靠性与可解释性。

实