Threat hunting zināšanu grafi: kā sasaistīt uzbrukuma paņēmienus, telemetriju un pierādījumus?

Drošības analītiķis saņem informāciju par jaunu uzbrukuma kampaņu. Ziņojumā minēti vairāki kompromitēšanas indikatori, izmantotās ievainojamības, uzbrucēju darbības paņēmieni un iespējamā grupējuma nosaukums. Daļa informācijas nāk no sākotnējā pētniecības ziņojuma, cita — no atvērtām datubāzēm, vēl cita — no komerciāla apdraudējumu izlūkošanas piegādātāja. Organizācija šo informāciju ievieto zināšanu grafikā. Tagad tajā redzamas saites starp uzbrucēju, ļaunprātīgu programmatūru, domēniem, ievainojamībām, ATT&CK tehnikām un iekšējām sistēmām. Grafiks ir vizuāli iespaidīgs. Taču kāds no analītiķiem uzdod vienkāršu jautājumu: kuras no šīm saitēm ir tieši novērotas, kuras izriet no viena ārēja ziņojuma un kuras ir mūsu pašu izdarīti secinājumi?

Ja sistēma uz to nespēj atbildēt, grafiks var radīt vairāk pārliecības nekā pierādījumu. Šī ir fundamentāla problēma. Savienojums starp diviem objektiem vēl nav fakts tikai tāpēc, ka tas tiek attēlots datubāzē. Tas var būt novērojums, pieņēmums, atsauce, korelācija, vēsturiska attiecība vai kļūdaina atribūcija. Kiberdrošībā šī atšķirība ir īpaši svarīga. Viena nepamatota saite var ietekmēt ievainojamību prioritizēšanu, detektēšanas noteikumus, uzbrucēju atribūciju un incidenta izmeklēšanas virzienu. OASIS STIX 2.1 piedāvā strukturētu kiberdraudu informācijas modeli. MITRE ATT&CK ļauj aprakstīt uzbrucēju uzvedību un detektēšanas stratēģijas. Savukārt W3C PROV-O dod formālu pieeju datu izcelsmes un atvasinājumu attiecību modelēšanai. S01S02S03

Šo pieeju kombinēšana var palīdzēt veidot sistēmu, kurā no uzbrukuma hipotēzes iespējams nonākt līdz konkrētam organizācijas notikumam un tā sākotnējam pierādījumam. Tomēr neviens no šiem standartiem pats par sevi negarantē, ka grafā ierakstītie secinājumi ir patiesi.

Kiberdraudu izlūkošana apvieno ļoti dažādu informāciju. Vienā avotā aprakstīta ievainojamība, citā novērota uzbrucēja infrastruktūra, bet trešajā aplūkota noteikta uzvedības secība. Organizācijas iekšējie dati savukārt apraksta tās aktīvus, programmatūras versijas, autentifikācijas notikumus un konfigurāciju. Šīs informācijas kopas bieži pastāv atsevišķi. Zināšanu grafa ideja ir padarīt attiecības starp tām skaidri izteiktas un pārbaudāmas. Piemēram, kāds ārējs ziņojums var aprakstīt noteiktu ATT&CK tehniku, bet iekšēja detektēšanas stratēģija — pieprasīt konkrētu notikumu komponenti. Organizācijas telemetrijas inventārs var norādīt, vai attiecīgie notikumi vispār tiek savākti.

Ja šīs attiecības ir modelētas korekti, iespējams atbildēt uz konkrētu jautājumu: kurām aktuālajām uzbrucēju tehnikām organizācija nespēj nodrošināt nepieciešamo redzamību? Tas ir daudz vērtīgāk par vispārīgu diagrammu, kas rāda, cik daudz uzbrucēju grupējumu vai domēnu atrodas datubāzē. Taču svarīgākā nav grafiskā vizualizācija. Svarīga ir precīza semantika, avotu izsekojamība un iespēja izpildīt reproducējamus jautājumus. Ja grafa attiecībām nav skaidras nozīmes, vizuāls tīkls var kļūt par mulsinošu saišu kolekciju.

Parasta relāciju datubāze var ļoti veiksmīgi glabāt kiberdrošības datus. Tajā iespējams definēt stingras shēmas, unikālas atslēgas, ārējās atslēgas, versijas un audita ierakstus. Grafu datubāze savukārt piedāvā datu modeli un vaicājumu mehānismus, kuros īpaši ērti izteikt objektus un to attiecības. Zināšanu grafs nav vienkārši grafu datubāzes sinonīms. Tā vērtība rodas no konceptuāla modeļa, skaidri definētām entītijām, attiecību nozīmes, datu izcelsmes un secinājumu izdarīšanas noteikumiem. To iespējams ieviest ar RDF un SPARQL, īpašību grafu tehnoloģijām vai pat relāciju datubāzes struktūrām, ja tās spēj korekti pārvaldīt nepieciešamās attiecības.

Tāpēc nebūtu pareizi apgalvot, ka jebkurai CTI sistēmai obligāti nepieciešama atsevišķa grafu datubāze. Sākotnēji daudz svarīgāk ir noteikt, ko nozīmē katra attiecība un kurš pierādījums to pamato. Tikai pēc tam ir jēga izvēlēties glabāšanas un vaicājumu tehnoloģiju. Organizācijai ar nelielu datu apjomu precīza relāciju shēma var būt labāks sākums nekā sarežģīta grafu infrastruktūra bez kvalitātes kontroles.

Es zināšanu grafā nodalītu četras pamatkategorijas. Novērojums ir fiksēts tehnisks notikums vai objekts. Piemēram, konkrētā laikā reģistrēta piekļuves tiesību maiņa, autentifikācijas notikums vai tīkla savienojums. Apgalvojums ir kādas personas, organizācijas vai sistēmas sniegta informācija par novērojumu vai apdraudējumu. Piemēram, CTI piegādātājs norāda, ka noteikts domēns saistīts ar ļaunprātīgu infrastruktūru. Hipotēze ir pārbaudāms pieņēmums par iespējamu saistību vai darbību. Piemēram, ka neparasta privileģēta konta izmaiņa varētu būt neatļautas piekļuves rezultāts.

Apstiprināts secinājums ir vērtējums, kuram ir definētajam apgalvojumam pietiekams pierādījumu pamats. Arī šādā gadījumā jānorāda pārbaudes tvērums un ierobežojumi. Šīs kategorijas var būt savstarpēji saistītas, taču tās nedrīkst automātiski pārvērst vienu otrā. Ja grafā ir tehnisks novērojums par savienojumu ar noteiktu IP adresi un ārējs apgalvojums, ka adrese reiz izmantota uzbrukumā, no tā automātiski neizriet, ka konkrētā organizācija ir kompromitēta. Nepamatota pāreja no novērojuma uz apstiprinātu incidentu ir viena no bīstamākajām zināšanu grafu kļūdām.

OASIS STIX 2.1 definē strukturētus objektus kiberdraudu informācijas apmaiņai, tostarp indikatorus, ļaunprātīgas programmatūras, uzbrukuma paņēmienus, novērotos datus un attiecības. S01 Šajā standartā īpaši svarīgs ir nošķīrums starp Observed Data un Sighting. Observed Data reprezentē novērotus tehniskus datus. Tas var aprakstīt, piemēram, reģistrētu failu, tīkla plūsmu vai citu sistēmas novērojumu. Savukārt Sighting izsaka izlūkošanas apgalvojumu, ka noteikts apdraudējuma objekts ticis novērots. Tam var būt saites uz pamatā esošajiem Observed Data objektiem.

Šī atšķirība ir nevis formāla detaļa, bet būtiska pierādījumu loģika. Sistēma var reģistrēt failu ar konkrētu kontrolsummu. Savukārt secinājums, ka šis fails ir noteiktas ļaunprātīgas programmatūras piemērs, ir atsevišķs interpretācijas solis. STIX struktūra ļauj šīs attiecības izteikt, bet tā neuzliek automātisku patiesuma garantiju katram iesniegtajam apgalvojumam. Līdzīgi arī confidence lauks atspoguļo informācijas producenta pārliecības vērtējumu. Tas nav universāli kalibrēts pierādījumu stipruma vai kompromitēšanas varbūtības mērījums. Kvalitatīvā CTI zināšanu grafikā STIX objekts jāglabā kopā ar informāciju par tā autoru, versiju, laiku, iegūšanas kanālu un attiecīgajiem izcelsmes pierādījumiem.

Svarīgi saglabāt arī sākotnējo datu struktūru, lai vēlāk varētu pārbaudīt, vai normalizācijas laikā nav mainīta apgalvojuma nozīme.

MITRE ATT&CK nodrošina kopīgu valodu zināmu uzbrucēju paņēmienu aprakstīšanai. Tas ļauj strukturēti saistīt taktikas, tehnikas, atsevišķus uzvedības piemērus un detektēšanas pieejas. Tomēr ATT&CK nevajadzētu izmantot kā universālu incidentu patiesuma reģistru. Tehnikas esamība ATT&CK ietvarā nepierāda, ka tā izmantota konkrētā organizācijā. Svarīgas ir arī 2025. gada oktobrī ieviestās izmaiņas detektēšanas datu modelī. Aktuālā arhitektūra ietver Detection Strategies, Analytics un Data Components. Vēsturiskie Data Sources objekti ir atzīti par novecojušiem, lai gan pagaidām tiek saglabāti savietojamībai. S02

Zināšanu grafā tas ļauj veidot vairākas precīzi definētas saites: uzbrucēja tehnika ir saistīta ar noteiktu detektēšanas stratēģiju, kurai nepieciešamas konkrētas analītikas un datu komponentes. Taču arī šeit nepieciešama vēl viena attiecība — starp teorētisko datu komponenti un organizācijas faktisko telemetriju. Ja ATT&CK stratēģijai nepieciešami noteikti notikumi, bet uzņēmuma infrastruktūra tos nesaglabā, grafam jāspēj parādīt šo nepilnību. Tas nedrīkst atzīmēt tehniku kā praktiski detektējamu tikai tāpēc, ka MITRE katalogā eksistē atbilstoša detektēšanas stratēģija.

W3C PROV-O ir rekomendācija, kas ļauj formalizēt datu un informācijas izcelsmi, izmantojot entītijas, aktivitātes un dalībniekus. S03 Šī pieeja ir nozīmīga CTI arhitektūrā, jo tā ļauj aprakstīt ne tikai pašu apgalvojumu, bet arī tā rašanās procesu. Piemēram, konkrēts drošības novērojums var būt iegūts no sistēmas žurnāla, ko noteiktā laikā apstrādājis parsētājs. Parsētājs radījis normalizētu notikumu, uz kura pamata analītiķis vēlāk izveidojis hipotēzi. Katra no šīm darbībām ir atsevišķs procesa posms.

Ja vēlāk tiek atklāta kļūda parsētāja versijā, organizācija var identificēt, kuri atvasinātie novērojumi un secinājumi jāizvērtē atkārtoti. Bez šādas izsekojamības kļūdains sākotnējais ieraksts var turpināt ietekmēt dažādus drošības lēmumus arī pēc tam, kad pati kļūda ir novērsta. PROV-O automātiski nepierāda apgalvojuma patiesumu. Tas palīdz aprakstīt, kā informācija radusies un no kā tā atvasināta. Šī atšķirība ir būtiska. Pierādāma izcelsme ir nepieciešams uzticamības elements, bet tā neaizstāj neatkarīgu secinājuma validāciju.

Piedāvāju desmit posmu arhitektūru, kuras mērķis ir saglabāt datu izcelsmi un nepieļaut nepamatotu interpretāciju pārvēršanu faktos. Tas ir autora piedāvājums, nevis oficiāla STIX, ATT&CK vai PROV-O specifikācija.

Šo arhitektūru iespējams realizēt dažādās datubāzu tehnoloģijās. Tomēr svarīgi, ka katram secinājumam saglabājas ceļš līdz sākotnējam avotam un ka nepārbaudītas attiecības nevar automātiski kļūt par apstiprinātām. Piemēram, ja ārējais ziņojums tiek atsaukts vai precizēts, jābūt iespējai identificēt visas no šī apgalvojuma atvasinātās hipotēzes. Tas ir īpaši nozīmīgi automatizētās sistēmās, kur viens sākotnējs ieraksts var ietekmēt lielu skaitu detektēšanas vai prioritizēšanas lēmumu.

Zināšanu grafam nepietiek zināt, ka konkrēta ievainojamība saistīta ar noteiktu programmatūras produktu. Tam jāspēj pārbaudīt, vai šis produkts patiešām ir organizācijas infrastruktūrā, kāda ir tā versija, konfigurācija un ekspozīcija. Svarīga ir arī informācijas aktualitāte. Programmatūras inventārs, kas atjaunināts pirms vairākiem mēnešiem, ne vienmēr pietiekami raksturo pašreizējo sistēmu. Tādēļ grafa attiecībai starp ievainojamību un aktīvu jāietver atbilstošie laika un pierādījumu ierobežojumi. Līdzīgi arī ATT&CK tehnikas saikne ar konkrētu aktīvu nav automātisks risks. Nepieciešams analizēt, vai attiecīgajai tehnikai nepieciešamie priekšnoteikumi šajā sistēmā ir izpildāmi un kuras kontroles tos ierobežo.

Praktiski noderīga ir spēja uzdot jautājumu: kuriem kritiskajiem aktīviem pastāv apdraudējumu hipotēzes, kurām nav pietiekamas detektēšanas vai mazināšanas kontroles? Atbildē jābūt ne tikai objektu sarakstam, bet arī pārbaudāmām saitēm uz attiecīgajiem avotiem.

Pieņemsim, ka organizācija vēlas pārbaudīt hipotēzi par neatļautām privileģētu kontu tiesību izmaiņām. Zināšanu grafikā var būt informācija par ATT&CK kontu manipulācijas tehnikām, ar tām saistītajām detektēšanas stratēģijām un nepieciešamajiem notikumu veidiem. Iekšējā sistēma glabā identitāšu pārvaldības žurnālus, piekļuves tiesību izmaiņu ierakstus un apstiprināto izmaiņu pieprasījumus. Vispirms jānosaka, vai žurnāli patiešām satur vajadzīgās pazīmes. Pēc tam iespējams meklēt tiesību maiņas notikumus, kuri neatbilst apstiprinātajam procesam. Ja tiek atrasts šāds notikums, grafā jāizveido saite uz oriģinālo žurnāla pierādījumu un attiecīgo autorizācijas kontekstu.

Taču no neatbilstošas tiesību maiņas automātiski neizriet, ka notikusi ļaunprātīga darbība. Var pastāvēt dokumentācijas kļūda, ārkārtas uzturēšanas process vai cits izskaidrojums. Tāpēc grafā jānošķir novērotais fakts, atbilstības pārkāpuma pazīme un iespējamās ļaunprātības hipotēze. Ja pēc izmeklēšanas neatļautā darbība tiek apstiprināta, šis secinājums jāsasaista ar konkrētiem pārbaudes pierādījumiem. Tieši šādu pierādījumu ķēdi zināšanu grafam vajadzētu padarīt pārskatāmu.

Daudzas kiberdrošības attiecības ir spēkā tikai noteiktā laika posmā. IP adrese var piederēt citam operatoram. Konts var mainīt piekļuves tiesības. Programmatūras versija var tikt atjaunināta. Domēns var pāriet pie cita īpašnieka. Ja grafā šādas attiecības glabā kā beztermiņa patiesību, rodas būtisks interpretācijas risks. Tāpēc jānošķir vismaz novērojuma laiks, apgalvojuma publicēšanas laiks, datu iegūšanas laiks un attiecības derīguma periods. Svarīgs ir arī jautājums, vai sistēma spēj rekonstruēt, kādi dati bija pieejami konkrēta iepriekšēja lēmuma pieņemšanas brīdī.

Piemēram, organizācijas iepriekšējās ievainojamību prioritizācijas kvalitāti nevar korekti vērtēt, izmantojot informāciju, kas kļuva pieejama tikai pēc attiecīgā lēmuma. Tāpēc pierādījumos balstītai CTI arhitektūrai nepieciešama vēsturiska reproducējamība. Tas nozīmē saglabāt ne tikai pašreizējo secinājumu, bet arī to, kā tas laika gaitā mainījies.

Vienam un tam pašam notikumam var būt vairākas interpretācijas. Viens pētnieks var uzskatīt, ka tehniskais artefakts saistīts ar konkrētu grupējumu. Cits var secināt, ka pierādījumi ir nepietiekami. Trešais var sniegt jaunu informāciju, kas iepriekšējo atribūciju apšauba. Zināšanu grafam jāspēj saglabāt šos atšķirīgos apgalvojumus, nevis automātiski izvēlēties vienu kā galīgo patiesību. STIX pārliecības vērtējumi var palīdzēt atspoguļot producenta novērtējumu, bet tos nevajadzētu mehāniski salīdzināt, ja avoti izmanto atšķirīgas vērtēšanas metodoloģijas.

Tāpat avotu daudzums nav automātisks neatkarīgu pierādījumu skaits. Ja pieci CTI piegādātāji pārpublicē vienu sākotnēju ziņojumu, grafā jāspēj atklāt šo kopīgo izcelsmi. Pretējā gadījumā viens neapstiprināts apgalvojums var izskatīties kā piecu neatkarīgu avotu atbalstīts secinājums. Īpaši svarīgi ir saglabāt arī nezināmos faktorus: trūkstošo telemetriju, nepārbaudītus identifikatorus un neskaidras atribūcijas. Zināšanu grafam jāspēj reprezentēt nenoteiktību, nevis tikai savienojumus.

Pirmais — nepamatota attiecības pārvēršana faktā. Ārējais ziņojums hipotētiski sasaista domēnu ar grupējumu, bet sistēma šo saiti attēlo kā apstiprinātu. Pārbaudes jautājums: vai grafā saglabāts sākotnējais formulējums un pārliecības līmenis? Otrais — avotu cikliska atsaukšanās. Vairāki piegādātāji atkārto vienu pirmavotu, radot mākslīgu pierādījumu daudzumu. Pārbaudes jautājums: vai iespējams noteikt sākotnējo publikāciju un tās atvasinājumus? Trešais — kļūdaina entītiju sapludināšana. Divi dažādi objekti ar līdzīgu nosaukumu vai identifikatoru tiek uzskatīti par vienu. Pārbaudes jautājums: vai sapludināšanas lēmumam ir reproducējami kritēriji un atsaukšanas iespēja?

Ceturtais — novecojis konteksts. Vēsturiska IP adreses vai programmatūras versijas saikne tiek izmantota pašreizējā incidenta secinājumā. Pārbaudes jautājums: vai attiecībai ir derīguma periods? Piektais — MI ģenerēta nepamatota saite. Modelis no vairākām publikācijām secina jaunu attiecību, bet neviens sākotnējais avots to nepamato. Pārbaudes jautājums: vai MI priekšlikums paliek atsevišķā hipotēžu slānī līdz neatkarīgai validācijai? Šie scenāriji parāda, ka grafu arhitektūras drošība ir atkarīga ne tikai no datubāzes tehniskās aizsardzības, bet arī no informācijas semantiskās integritātes.

Kvalitatīvā sistēmā analītiķim jāspēj izvēlēties konkrētu secinājumu un rekonstruēt tā pamatojumu. Piemēram, grafā tiek apgalvots, ka konkrētam kritiskam aktīvam pastāv detektēšanas nepilnība attiecībā uz noteiktu ATT&CK tehniku. Šādam secinājumam jābūt sasaistītam ar attiecīgo tehniku, detektēšanas stratēģiju, vajadzīgajām datu komponentēm, organizācijas faktiskajiem telemetrijas avotiem un pēdējās pārbaudes rezultātu. Ja kāds nepieciešamais pierādījums nav pieejams, to nedrīkst paslēpt zem vispārīgas statusa vērtības. Praktiska pieeja ir izmantot reproducējamus pārbaudes vaicājumus un automatizētus datu integritātes testus.

Jātestē arī negatīvie scenāriji. Piemēram, sistēmai nevajadzētu uzskatīt teorētiski aprakstītu detektēšanas stratēģiju par ieviestu, ja nav attiecīgā testēšanas pierādījuma. Šādas pārbaudes pārvērš zināšanu grafu no vizuālas informācijas kartes par auditējamu drošības analīzes instrumentu.

MI var palīdzēt iegūt strukturētus faktus no publikācijām, piedāvāt iespējamas saites un formulēt jautājumus par grafā esošo informāciju. GraphRAG pieeja ļauj izmantot strukturētu attiecību tīklu kā kontekstu valodas modeļa atbildēm. Tas var būt noderīgi, piemēram, lai noskaidrotu, kuras detektēšanas kontroles saistītas ar noteiktu tehniku vai kuriem aktīviem pastāv nepārbaudītas apdraudējumu hipotēzes. Tomēr valodas modelis var sajaukt attiecību veidus un kļūdaini pārvērst hipotēzi par faktu. Tāpēc MI ģenerētām atbildēm jāatspoguļo pierādījumu robežas. Ja informācija balstīta vienā nepārbaudītā avotā, sistēmai tas jānorāda.

Svarīga ir arī piekļuves kontrole. Zināšanu grafā var būt sensitīvi incidentu dati, infrastruktūras informācija un iekšējie drošības trūkumi. MI integrācija nedrīkst automātiski padarīt šo informāciju pieejamu plašākam lietotāju vai ārēju pakalpojumu lokam. Vēl viens risks ir neuzticama ārējā satura pārvēršana instrukcijās. CTI publikācija, kuru sistēma importē analīzei, nedrīkst iegūt tiesības vadīt aģenta darbības. Tāpēc es nošķirtu datu iegūšanu, MI hipotēžu ģenerēšanu, pierādījumu validāciju un darbības autorizāciju.

Šī matrica nav tehnoloģijas iepirkuma specifikācija. Tā ir minimālo prasību struktūra, kuru iespējams pielāgot organizācijas riskiem un datu apjomam. Īpaši svarīga ir prasība pēc reproducējamības. Sistēmai jāspēj rekonstruēt noteiktā brīdī izmantotos datus, versijas un secinājumu pamatojumu.

Zināšanu grafa briedumu nevajadzētu mērīt tikai pēc mezglu un saišu skaita. Miljons objektu var būt mazāk vērtīgs nekā neliela, precīzi verificēta informācijas kopa, kas ļauj pieņemt nozīmīgu aizsardzības lēmumu. Es vērtētu, cik bieži analītiķis spēj izsekot secinājumu līdz sākotnējam novērojumam, cik daudz dublikātu un nepamatotu sasaistu tiek atklāts un vai grafā iespējams identificēt telemetrijas un detektēšanas pārklājuma nepilnības. Noderīgs rādītājs ir arī laiks, kas nepieciešams kļūdaina avota atsaukšanas ietekmes analīzei.

Ja tiek konstatēts, ka konkrētā datu plūsma ilgstoši izplatījusi kļūdainu atribūciju, sistēmai jāspēj atrast visus atkarīgos secinājumus un noteikt, kurus drošības lēmumus nepieciešams pārskatīt. Taču pats svarīgākais ir praktiskais iznākums. Vai grafā esošās saites palīdzējušas atrast iepriekš nepamanītu detektēšanas nepilnību? Vai tās ļāvušas precīzāk prioritizēt reālu ekspozīciju? Vai tās palīdzējušas izvairīties no nepamatota secinājuma par incidentu? Ja šādu rezultātu nav, iespējams, organizācija ir izveidojusi sarežģītu datu pārvaldības sistēmu, bet vēl nav pierādījusi tās drošības vērtību.

CTI zināšanu grafa pieņemšanas testā ievietotu vienu korektu novērojumu, vienu neapstiprinātu ārēja piegādātāja apgalvojumu un vienu apzināti nepareizi sasaistītu entītiju. Pēc tam pārbaudītu, vai izmeklētājs spēj atrast katra ieraksta izcelsmi, noteikt tā statusu un atsaukt atvasinātos secinājumus, tiklīdz kļūdainā saite tiek atklāta. Ja sistēma spēj tikai skaisti parādīt grafu, bet ne atjaunot secinājuma vēsturi, uzticamība nav pierādīta. Atsevišķi pārbaudītu divus laikus: kad notikums faktiski novērots un kad sistēma par to uzzinājusi. Bez šāda nošķīruma vēsturisks CTI paziņojums var šķietami «pierādīt» agrāku incidenta interpretāciju, kaut gan analītiķim šī informācija tajā brīdī nebija pieejama. Tas pats attiecas uz STIX attiecību confidence vērtējumu: izcelsme un pārliecība ir datu īpašības, ne patiesuma garantija. Grafs kļūst profesionāli lietojams tad, kad tajā var pārbaudīt arī kļūdas.

Aktuālais MITRE ATT&CK laidiens (2026. gada 13. oktobris)

MITRE 2026. gada 13. oktobrī publicēja ATT&CK v20.0, kas aizstāj iepriekšējo laidienu kā aktuālo katalogu. Tas ir jāatšķir no ATT&CK v18 2025. gada oktobrī ieviestās detektēšanas modeļa pārstrukturēšanas. S11 Zināšanu grafikā ATT&CK attiecības jāglabā kā versēti apgalvojumi. Ja tehnikas vai detektēšanas struktūra mainās starp laidieniem, grafam jāspēj parādīt, kuras saites nāk no vecā kataloga un kuras pievienotas pēc migrācijas. Pretējā gadījumā kļūdaina grafa saite var šķist par neatkarīgi novērotu uzbrucēja paņēmienu.

Threat hunting zināšanu grafi var kļūt par nozīmīgu instrumentu, kas sasaista ārējo kiberdraudu izlūkošanu ar organizācijas faktisko infrastruktūru, telemetriju un detektēšanas pierādījumiem. OASIS STIX 2.1 palīdz strukturēt apdraudējumu objektus un attiecības. MITRE ATT&CK dod kopēju valodu uzbrucēju paņēmieniem un detektēšanas stratēģijām. W3C PROV-O ļauj precīzāk modelēt datu izcelsmi un atvasinājumu vēsturi. Taču svarīgākais ir nepieļaut, ka tehniska saite grafikā automātiski kļūst par patiesības apliecinājumu. Novērojums nav tas pats, kas atribūcija. Avota apgalvojums nav tas pats, kas neatkarīgs pierādījums. Teorētiski iespējama detektēšana nav tas pats, kas organizācijā pārbaudīta kontrole.

Manuprāt, labs CTI zināšanu grafs ir tāds, kurā katram nozīmīgam secinājumam iespējams uzdot trīs jautājumus: no kā tas izriet, kā tas ir pārbaudīts un kas mainīsies, ja sākotnējais pierādījums izrādīsies kļūdains? Ja sistēma spēj pārliecinoši atbildēt uz visiem trim, tā sāk kļūt par reālu pierādījumos balstītas kiberdrošības infrastruktūras daļu.