POC: Rilevamento e Arricchimento degli Alert MITRE Attack basato su AI

Questo repository dimostra una pipeline di machine learning per rilevare tecniche MITRE ATT&CK dai log e arricchire l'output utilizzando un LLM locale.

Panoramica

Il progetto è suddiviso in due componenti principali:

1. Modello di Machine Learning (ML) – classifica i log in tecniche MITRE ATT&CK
2. Arricchimento LLM – arricchisce la previsione del ML con spiegazioni adatte agli analisti e insight attuabili

Modello di Machine Learning

Scopo

Il modello ML è addestrato per prevedere una tecnica MITRE (o BENIGN) a partire dagli eventi di log.
Ciò consente di automatizzare il rilevamento e la categorizzazione di comportamenti potenzialmente malevoli.

Approccio

• Feature: campo commandline dai log
• Vettorizzazione: TF-IDF (Term Frequency – Inverse Document Frequency)
• Modello: RandomForestClassifier (robusto, interpretabile, CPU-friendly)
• Target: mitre_label (es. T1059.001, T1105, BENIGN)

Addestramento

python scripts/train_mitre_model.py

Questo script:

• Carica il dataset dataset_full_160k.csv

• Suddivide i dati in set di training/test

• Converte le righe di comando in vettori TF-IDF

• Addestra il modello Random Forest

• Valuta le performance (precision, recall, F1-score, matrice di confusione)

• Salva il modello addestrato e il vettorizzatore:

  • models/mitre_ml_model.pkl

  • models/tfidf_vectorizer.pkl

Arricchimento LLM

Scopo

Una volta che il modello ML prevede una tecnica MITRE, l'LLM arricchisce il risultato fornendo:

• Spiegazione della tecnica

• Perché il comando corrisponde alla tecnica

• Intento dell'attaccante

• Passaggi di indagine consigliati

• Regole di rilevamento suggerite

Questo passaggio colma il divario tra la previsione grezza del ML e gli insight utilizzabili da un analista SOC.

Utilizzo

L'LLM locale (es. Phi-3 tramite Ollama) viene chiamato con un prompt contenente:

• Previsione del ML

• Riga di comando grezza

python scripts/enrich_with_llm.py

Dipendenze Python

pip3 install -r requirements.txt

Librerie

• pandas
• scikit-learn
• requests

Note

• test_model.py viene utilizzato per testare il modello, è opzionale.
• Gli script sono progettati per essere eseguiti localmente, in un ambiente Python 3.13+ con le dipendenze elencate.
• Installa Ollama sulla tua macchina e aggiungi il modello Phi-3 mini.