Geautomatiseerde cyber-inlichtingenrapporten voor het militaire commando

Het inlichtingenprobleem waarmee militaire commandostructuren in het cyberdomein worden geconfronteerd, is geen datatekort. Het is een formaatprobleem. Dreigingsfeeds leveren ruwe indicatoren — IP-adressen, bestandshashes, domeinnamen — geoptimaliseerd voor opname door detectietools, niet voor besluitvorming door commandanten. Wanneer een J6-officier een commanderend officier moet briefen over het actuele cyberdreigingsbeeld, is de ruwe IOC-dump van de SIEM niet het product dat de keten wordt doorgegeven. Iemand moet het vertalen. Dat vertaalwerk — machineleesbare indicatoren omzetten naar gestructureerde, geattribueerde, commandant-gereed inlichtingen — wordt momenteel handmatig gedaan door analisten die schaarser zijn dan de data die ze verwerken.

Geautomatiseerde cyber-inlichtingenrapportgeneratie met LLM's en gestructureerde CTI-data verandert de economie van die vertaling. Dit artikel behandelt hoe commandant-gereed geautomatiseerde CTI-rapporten eruitzien, welke gestructureerde invoer nodig is om ze betrouwbaar te genereren, hoe je de LLM-pipeline bouwt met hallucinatiecontroles die een militaire context vereist, en hoe je de uitvoer verspreidt via de kanalen die een commandoketen daadwerkelijk gebruikt.

De kloof: ruwe IOC-feeds versus commandant-gereed inlichtingen

Ruwe IOC-feeds dienen een specifieke en waardevolle functie: ze vullen bloklijsten, sturen SIEM-correlatieregels aan en voeden eindpuntdetectiesystemen. Voor dat doel is het formaat correct — machineleesbaar, hoog volume, gestructureerd voor geautomatiseerde opname. Het probleem ontstaat wanneer dezelfde feed wordt verwacht ook de inlichtingenbehoeften van de commandolaag te bedienen. Een commandant kan niet handelen op basis van een lijst van 2.000 IP-adressen. Ze moeten weten welke tegenstanersgroep waarschijnlijk achter de activiteit zit, wat hun doelstelling is, welke systemen of netwerken at risk zijn, wat het betrouwbaarheidsniveau van de toewijzing is, en welke handelwijze wordt aanbevolen.

Die vertaling van indicator naar beoordeling vereist meerdere verrijkingsstappen die ruwe IOC-feeds niet uitvoeren: dreigingsactortoewijzing via clustering van campagne-infrastructuur, techniekopzegging op ATT&CK-niveau om tegenstanersgedrag te karakteriseren, historische context uit de bekende doelpatronen van de tegenstander, en een impactbeoordeling gekoppeld aan de specifieke kritieke systemen van het commando. Niets van dat alles is aanwezig in de feed. Alles kost analytijdvoor handmatige productie.

Het tijdigheidsprobleem versterkt het formaatprobleem. Een dreiging die twaalf uur na het eerste verschijnen van de relevante indicatoren wordt geïdentificeerd en geclassificeerd, is mogelijk niet meer bruikbaar. Een executive briefing die om 08:00 wordt geleverd aan de commanderend officier over de dreigingsactiviteit van de voorgaande 24 uur is nuttig. Een briefing die om 16:00 wordt geleverd over dezelfde periode is dat niet. Geautomatiseerde rapportgeneratie lost beide problemen tegelijkertijd op: het produceert commandant-gereed uitvoer in een consistent formaat, en dat snel genoeg zodat tijdigheid niet langer wordt bepaald door de beschikbaarheid van analisten.

Rapporttypen voor de commandoketen

Niet elk rapporttype bedient elke doelgroep. Het ontwerpen van de rapporttaxonomie vóór de implementatie van de pipeline is essentieel — het LLM genereert narratief binnen een template, en de template moet worden afgestemd op de doelgroep. Vier rapporttypen dekken de praktische behoeften van de meeste militaire commandostructuren.

Executive dreigingsbriefing

De executive dreigingsbriefing is een maximaal tweepaginasamenvatting bedoeld voor de commanderend officier en senior staf. Het vermeldt de huidige dreigingspostuur (verhoogd, normaal, gedegradeerd), noemt de tegenstanersgroepen met actieve campagnes die relevant zijn voor het operatiegebied van het commando, karakteriseert de waarschijnlijke doelstelling van elke groep in één of twee zinnen, en somt de drie belangrijkste aanbevolen commandoacties op. Betrouwbaarheidsniveaus worden uitgedrukt in gewone taal — "beoordeeld met hoge betrouwbaarheid op basis van drie corroborerende bronrapporten" — niet als decimale kansen. TLP-classificatie verschijnt in de koptekst. Elke feitelijke claim is herleidbaar tot een bronrecord in de CTI-kennisbank, maar broncitaten verschijnen in een bijlage in plaats van inline, om de leesbaarheid op executief niveau te bewaren.

Technisch indicatorrapport

Het technisch indicatorrapport bedient het SOC en de J6-staf die moet handelen op basis van de specifieke indicatoren die ten grondslag liggen aan de executive briefing. Het bevat de volledige IOC-tabel (met contextvelden: geassocieerde malwarefamilie, ATT&CK-techniek-ID, betrouwbaarheidsscore, tijdstempels van eerste en laatste waarneming, TLP-classificatie per indicator), detectiebegeleiding gekoppeld aan de geïnstalleerde sensorstack van het commando, en STIX 2.1-bundel-export. Dit rapporttype vereist minimale LLM-betrokkenheid in de body — het grootste deel bestaat uit gestructureerde data gerenderd vanuit de CTI-kennisbank. Het LLM levert de inleidende samenvatting, het techniek-niveau narratief voor elke ATT&CK-techniekcluster aanwezig in de indicatorset, en de detectiebegeleidingstekst.

Tegenstanersprofielupdate

Het tegenstanersprofiel is een persistent document, bijgewerkt wanneer nieuwe campagneactiviteit incrementele kennis biedt over een gevolgde dreigingsactorgroep. Het beschrijft de bekende organisatiestructuur van de groep, primaire doelsectoren en -gebieden, malwaretoolset, geprefereerde TTPs gekoppeld aan ATT&CK, en historische operatietijdlijn. Het LLM genereert de delta — wat er is veranderd sinds de laatste profielversie — door de bronrecordset van het vorige profiel te vergelijken met de huidige en narratief te genereren voor de nieuwe toevoegingen. Versiebeheer van het profieldocument is verplicht; elke update draagt een profielversienummer en een wijzigingslog met een samenvatting van wat is toegevoegd of herzien.

Incidenttijdlijn

Wanneer een cyberincident dat de netwerken van het commando betreft is bevestigd of vermoed, reconstrueert het incidenttijdlijnrapport de chronologische reeks van events op basis van beschikbare sensortelemetrie, dreigingsinlichtingenovereenkomsten en OSINT-corroboratie. Het LLM synthetiseert een narratieve tijdlijn uit eventrecords geordend op tijdstempel, identificeert waarschijnlijke ATT&CK-technieksequenties (die aangeven welke fase van de kill chain de tegenstander heeft bereikt), en produceert een gestructureerde eventtabel voor beoordeling door de commandostaf. De tijdlijn is het product dat het meest direct nuttig is voor een post-incident commandodebrief en voor het informeren van defensieve maatregelen.

LLM-pipeline voor rapportgeneratie

De pipeline-architectuur die betrouwbare geautomatiseerde CTI-rapporten produceert voor een militair publiek heeft vijf afzonderlijke fasen. Elke fase heeft specifieke invoervereisten, kwaliteitscontroles en faalwijzen die moeten worden aangepakt voordat de pipeline opereert in een commandoomgeving.

Fase 1 — Gestructureerde CTI-opname. Alle brondata komt de pipeline binnen in een van twee formaten: STIX 2.1-bundles van feedabonnementen en MISP-eventexports, of verrijkte eventrecords geproduceerd door de upstream-classificatiepipeline. Ruwe IOC-records zonder ATT&CK-techniekopzeggingen, betrouwbaarheidsscores en TLP-classificaties worden bij opname vastgehouden en doorgestuurd naar de verrijkingspipeline vóór rapportgeneratie. De rapportgenerator vereist gestructureerde invoer — pogingen om commandant-gereed narratief te genereren uit onverrijkte IOC-lijsten produceren uitvoer van lage kwaliteit die hallucinatiecontroles niet doorstaat en uitgebreide analistcorrectie vereist.

Fase 2 — Templateselectie en invoersamenstelling. Op basis van het rapportverzoek (geactiveerd door planning, drempelgebeurtenis of analistverzoek) selecteert de pipeline de juiste rapporttemplate en assembleert de invoerrecordset. Voor een executive briefing betekent dit het ophalen van alle actieve campagnerecords voor de huidige rapportageperiode, gegroepeerd per dreigingsactor, gerangschikt op ernst. Voor een tegenstanersprofielupdate betekent dit het ophalen van de deltarecordset — bronrecords toegevoegd sinds de laatste profielversie. Invoersamenstelling is deterministisch; hetzelfde verzoek tegen dezelfde recordset produceert dezelfde samengestelde invoer, wat reproduceerbaarheid en audit mogelijk maakt.

Fase 3 — RAG-verankerde narratiefgeneratie. Het LLM genereert narratief sectie voor sectie op basis van de samengestelde invoerrecords. Retrieval-augmented generation (RAG) is de vereiste architectuur: het model genereert tekst verankerd in de specifieke records die worden aangeboden in de promptcontext, niet op basis van zijn parametrische gewichten. Elke prompt instrueert het model om het bronrecord-ID te citeren voor elke feitelijke claim. Uitvoer voldoet aan een strikt JSON-schema dat koppelt aan de rapporttemplate-secties. Schema-validatie loopt onmiddellijk na ontvangst; parsefouten activeren een automatisch opnieuw proberen met corrigerende instructies vóór routering naar analistbeoordeling.

Fase 4 — Hallucinatiedetectie en feitelijke verificatie. Elk gegenereerd rapport doorloopt een geautomatiseerde feitelijke verificatiecontrole voordat het een menselijke beoordelaar bereikt. De controle verifieert dat elke geciteerde bronrecord-ID bestaat in de invoerset en dat de gegenereerde claim semantisch consistent is met de inhoud van het geciteerde record. Semantische consistentie wordt gecontroleerd met een tweede LLM-aanroep met een binaire beoordelingsprompt — een lichtgewicht aanpak die de meest voorkomende hallucinatiepatronen opvangt zonder uitputtende entiteitsovereenkomst te vereisen. Claims die de consistentiecontrole niet doorstaan, worden inline gemarkeerd in het conceptrapport. Een register van bekende valse claims (weerlegde toewijzingen, vals positieve indicatoren) wordt gescand tegen elk rapport; een overeenkomst blokkeert verspreiding totdat de analist het conflict oplost.

Fase 5 — Menselijke beoordeling en goedkeuring. Geen enkel geautomatiseerd CTI-rapport wordt verspreid zonder goedkeuring van een menselijke beoordelaar. De beoordelaarsinterface toont het conceptrapport met alle feitelijke verificatievlaggen gemarkeerd, toont de bronrecords die elke gemarkeerde claim ondersteunen, en vereist een expliciete goedkeuringsactie voordat het rapport de verspreidingswachtrij ingaat. De identiteit van de beoordelaar, het tijdstempel en eventuele correcties worden gelogd als onderdeel van het provenancierecord van het rapport. Dit is geen bureaucratische formaliteit — in een militaire CTI-context is een geautomatiseerd rapport met een onjuiste toewijzing dat een commandobeslissing aanstuurt een bedreiging voor de operationele veiligheid, niet alleen een inlichtingenfout.

Gestructureerde invoervereisten

Het kwaliteitsplafond voor geautomatiseerde CTI-rapporten wordt bepaald door de kwaliteit van de gestructureerde invoer. Er is geen prompt-engineeringstrategie die ontbrekende ATT&CK-techniekopzeggingen, afwezige betrouwbaarheidsscores of onopgeloste dreigingsactoraliassen compenseert. De volgende invoervereisten zijn het minimum voor betrouwbare rapportgeneratie.

STIX 2.1-bundles moeten opgeloste objectrelaties bevatten. Een bundle die alleen Indicator-objecten bevat zonder Relationship-objecten die hen verbinden met Threat Actor-, Malware- en Attack Pattern-objecten, biedt niet de toewijzingscontext die de rapportgenerator nodig heeft. Campaign-objecten die Threat Actor koppelen aan meerdere Indicator-objecten over een tijdsbereik zijn bijzonder waardevol voor de generatie van executive briefings, omdat ze het structurele bewijs leveren voor activiteitstoewijzing zonder dat het LLM het hoeft te infereren.

ATT&CK-techniekopzeggingen moeten per-techniek-betrouwbaarheidsscores dragen. Een techniekopzegging zonder betrouwbaarheidsscore wordt standaard behandeld als lage betrouwbaarheid. De betrouwbaarheidsscore wordt gebruikt om de sterkte van de narratieve claim te kalibreren: een hoge-betrouwbaarheids-T1071 (Application Layer Protocol) opzegging drijft een specifieke claim over de C2-communicatiemethode van de tegenstander; een lage-betrouwbaarheidsopzegging drijft een genuanceerde claim met taal als "mogelijk consistent met" in plaats van "gebruikt." Dit onderscheid is operationeel significant op commandoniveau, waar overmoedige inlichtingen historisch gezien tot slechte beslissingen hebben geleid.

TLP-classificaties moeten aanwezig zijn op alle bronrecords vóór rapportgeneratie. De pipeline berekent het TLP-niveau van het rapport als het maximum over alle TLP-niveaus van de bronrecords en past het automatisch toe. Een bronrecord zonder TLP-classificatie wordt standaard behandeld als TLP:AMBER — het meest conservatieve niet-geblokkeerde niveau — totdat een analist een expliciete classificatie toewijst. Deze standaard-conservatieve aanpak voorkomt onbedoeld te ruim delen.

Kwaliteitscontroles: hallucinatiepreventie in een CTI-context

Hallucinatiepreventie in een militaire CTI-context vereist meer dan de standaard LLM-uitvoervalidatiebenaderingen die worden gebruikt in commerciële toepassingen. Drie specifieke controles zijn vereist.

Ten eerste moeten toewijzingsclaims worden verankerd aan het daadwerkelijke campagne-infrastructuurbewijsmateriaal, niet aan de parametrische kennis van het model over dreigingsactorgroepen. Een model dat is getraind op openbare CTI-rapporten weet veel over APT-groepen — hun tooling, hun doelpatronen, hun historische operaties. Die parametrische kennis mag toewijzingsclaims in een gegenereerd militair rapport niet aansturen. De RAG-architectuur dwingt dit af: de promptcontext bevat alleen de specifieke records samengesteld voor dit rapport, en het model wordt geïnstrueerd om toewijzingsclaims uitsluitend uit die context te maken.

Ten tweede moet betrouwbaarheidstaal worden gekalibreerd op de betrouwbaarheidsscores van de invoer, niet op de linguïstische voorkeur van het model. LLM's neigen naar zelfverzekerde bewering in vloeiend proza. In een CTI-context moet een rapportsectie gegenereerd uit records met een gemiddelde betrouwbaarheidsscore van 0,62 genuanceerde taal gebruiken — "beoordeeld met matige betrouwbaarheid," "consistent met maar niet bevestigd als" — ongeacht hoe vloeiend het zou zijn om de claim assertief te formuleren. Dit afdwingen vereist expliciete betrouwbaarheid-naar-taal-koppelingsregels in de prompt en een post-generatiecontrole die de uitvoer scant op hoge-betrouwbaarheidsbewering gekoppeld aan lage-betrouwbaarheidsinvoerrecords.

Ten derde is versiebeheer van terugkerende rapporten een kwaliteitscontrolemechanisme, niet alleen een operationeel gemak. Wanneer een nieuwe versie van een tegenstanersprofiel wordt gegenereerd, maakt het vergelijken met de vorige versie en het presenteren van de delta aan de menselijke beoordelaar hallucinatiedetectie aanzienlijk eenvoudiger. Een beoordelaar die ziet dat het nieuwe profiel een capability beweert die de groep in de vorige versie niet werd toegeschreven, weet onmiddellijk dat ze de bronrecords die die claim ondersteunen, moeten controleren. Zonder versievergelijking zijn nieuw geïntroduceerde fouten onzichtbaar tegen de achtergrond van het volledige rapport.

Voor een diepere blik op hoe CTI-platforms dreigingsdata structureren voor inlichtingenproducten op commandoniveau, zie onze gids voor CTI-platformarchitectuur van defensiekwaliteit.

Verspreiding: het kanaal afstemmen op het rapporttype

Geautomatiseerde rapporten zijn alleen waardevol als ze de juiste doelgroep bereiken via het juiste kanaal met passende toegangscontroles. Militaire commandoomgevingen hebben specifieke verspreidingsvereisten die commerciële CTI-platforms niet adresseren.

XMPP en realtime push

Voor tijdkritische executive briefings en hoge-ernst-incidentmeldingen levert XMPP-push binnen seconden na goedkeuring van het rapport een kort waarschuwingsbericht — dreigingspostuur, tegenstanersgroep, aanbevolen actie en een beveiligde ophaallink — aan de commandostaf. XMPP is het voorkeursprotocol voor tactische commandocommunicatie in veel defensieomgevingen vanwege zijn federale architectuur en offline berichtenwachtrij. Het volledige rapport is beschikbaar via de ophaallink; het XMPP-bericht is de melding, niet het rapport zelf.

MISP-push voor technische verspreiding

Technische indicatorrapporten worden rechtstreeks naar de MISP-instantie van het commando gepusht als gestructureerde events met ATT&CK-galaxytags, TLP-markeringen en geassocieerde STIX-objecten. Downstream-SIEM-correlatieregels en eindpuntdetectietools abonneren op de MISP-eventstroom en nemen automatisch nieuwe indicatoren op zonder analistinterventie voor elk rapport. De distributiecontroles van MISP dwingt TLP-beperkingen af op het deelgroepniveau, wat ervoor zorgt dat indicatoren gemarkeerd als TLP:AMBER geen ongeautoriseerde servers in de federatie bereiken.

PDF en DOCX voor de commandoketen

Executive briefings en tegenstanersprofielen worden gerenderd naar PDF voor formele verspreiding via commandodocumentbeheersystemen. PDF-uitvoer bevat de provenancemetadata van het rapport — rapport-ID, generatietijdstempel, ATT&CK-versie waarnaar wordt verwezen, identiteit van de beoordelaar, TLP-classificatie — in een gestandaardiseerde koptekst. DOCX-uitvoer wordt verstrekt voor rapporten die worden geannoteerd en doorgestuurd door de commandostaf. Beide formaten worden gegenereerd vanuit hetzelfde bron-JSON-record, waardoor de gestructureerde en mensleesbareversies gesynchroniseerd blijven. Formattemplates dwingen consistent lay-out af voor alle rapporttypen zodat commandostaf vertrouwd raakt met de documentstructuur in plaats van telkens een andere lay-out te moeten oriënteren.

Voor context over hoe OSINT-monitoringpipelines gestructureerde CTI-data voeden in inlichtingenproducten op commandoniveau, zie onze gids voor OSINT-dreigingsmonitoring-architectuur van defensiekwaliteit.

Corvus.Sense: gestructureerde dreigingsinlichtingenbriefings vanuit OSINT-monitoring

De pipeline beschreven in dit artikel vereist een continue bron van gestructureerde, verrijkte CTI-data als upstream-invoer. Telegram-kanalen, open berichtenplatformen en OSINT-bronnen behoren tot de hoogste-signaalinvoer voor tegenstanersactiviteitsmonitoring in huidige conflictomgevingen — maar ze leveren ongestructureerde inhoud die geautomatiseerde classificatie en verrijking vereist voordat het rapportgeneratie kan aandrijven.

Corvus.Sense biedt die upstream-laag: continue monitoring van Telegram-kanalen en OSINT-bronnen, geautomatiseerde LLM-gebaseerde classificatie van dreigingsinhoud, ATT&CK-techniekopzegging met betrouwbaarheidsscores, TLP-classificatie en STIX-exporteerbare gestructureerde inlichtingenrecords. De uitvoer is de gestructureerde CTI-invoer die de rapportgeneratiepipeline vereist — dreigingsactorrecords, techniek-tijdlijnen, indicatorsets en tegenstanersprofieldata samengesteld uit gemonitorde open bronnen in bijna realtime.