RAG بالرسوم البيانية وMITRE ATT&CK

الـ RAG المسطّح يسترجع فقرات. أما العملية الهجومية فتفكّر بالعلاقات — هذه التقنية تُمكّن تلك، وهذا الفاعل يستخدم تلك البرمجية، وهذا الإجراء يكسر تلك السلسلة. لذلك ربطنا Beorn برسم معرفي مبني على MITRE ATT&CK.

من المقاطع إلى رسم للتقنيات

نُمذّج التكتيكات والتقنيات والمجموعات والإجراءات المضادة كعُقَد، وعلاقات ATT&CK كحواف. كل تقرير نفهرسه يُربط بالتقنيات التي يُظهرها. يتحوّل الاسترجاع من "مستندات متشابهة" إلى "ماذا يمكنني أن أفعل من هنا".

استرجاع يتبع سلسلة القتل

عند حصول الوكيل على تنفيذ، لا نطلب "نصاً عن الاستمرارية"، بل نسير في الرسم من التقنية الحالية نحو التكتيكات التالية، مع ترجيح بما رُصد على الهدف.

graph.walk({ from: "T1190",
  toward: ["persistence","privilege-escalation"],
  filter: { platform: "linux", observed: true }, k: 5 })

لماذا يتفوّق الرسم

يمنح الرسم الدقة (حواف مُنسَّقة لا تشابه جيب التمام)، والقابلية للتفسير (كل اقتراح يحمل مساره)، والتغطية (تقنيات مجاورة لا يقرّبها أي تضمين). يبقى المخزن الشعاعي للبحث التقريبي، والرسم يقرّر الخطوة التالية.

ما الذي نقدّمه

يجيب Beorn برسوم فرعية من ATT&CK لا بمقاطع فقط. يحصل الوكيل على خريطة سلسلة قتله مرتبطة بالأدلة، ويخرج كل تقرير موائماً لـ ATT&CK لنظام SIEM لديك.