Automatyczne raporty cyberwywiadu dla dowództwa wojskowego

Problem wywiadowczy stojący przed dowództwami wojskowymi w domenie cybernetycznej nie polega na braku danych. To problem formatu. Kanały zagrożeń dostarczają surowe wskaźniki — adresy IP, skróty plików, nazwy domen — zoptymalizowane pod kątem pobierania przez narzędzia wykrywające, a nie pod kątem podejmowania decyzji przez dowódców. Gdy oficer J6 musi briefować oficera dowodzącego o aktualnym obrazie zagrożeń cybernetycznych, surowy zrzut IOC z SIEM nie jest produktem, który trafia w górę łańcucha. Ktoś musi to przetłumaczyć. Ta praca przekładowa — konwersja wskaźników czytelnych maszynowo na ustrukturyzowany, przypisany, gotowy do użycia przez dowódcę wywiad — jest obecnie wykonywana ręcznie przez analityków, którzy są rzadsi niż przetwarzane przez nich dane.

Automatyczne generowanie raportów cyberwywiadu przy użyciu LLM i ustrukturyzowanych danych CTI zmienia ekonomię tego przekładu. Niniejszy artykuł omawia, jak wyglądają automatyczne raporty CTI gotowe dla dowódcy, jakich ustrukturyzowanych danych wejściowych wymagają, aby je generować wiarygodnie, jak zbudować potok LLM z kontrolami halucynacji, których wymaga kontekst wojskowy, oraz jak rozpowszechniać wynik przez kanały faktycznie używane przez łańcuch dowodzenia.

Luka: surowe kanały IOC a wywiad gotowy dla dowódcy

Surowe kanały IOC pełnią określoną i wartościową funkcję: wypełniają listy blokad, napędzają reguły korelacji SIEM i zasilają systemy wykrywania zagrożeń na punktach końcowych. Do tego celu format jest prawidłowy — czytelny maszynowo, wysokiej objętości, ustrukturyzowany do automatycznego pobierania. Problem pojawia się, gdy ten sam kanał ma służyć potrzebom wywiadowczym warstwy dowodzenia. Dowódca nie może działać na podstawie listy 2000 adresów IP. Musi wiedzieć, która grupa przeciwnika stoi prawdopodobnie za tą aktywnością, jaki jest jej cel, które systemy lub sieci są zagrożone, jaki jest poziom pewności atrybucji i jakie działanie jest zalecane.

Ten przekład od wskaźnika do oceny wymaga kilku etapów wzbogacania, których surowe kanały IOC nie wykonują: atrybucja podmiotu zagrożenia przy użyciu klastrowania infrastruktury kampanii, mapowanie na poziomie techniki do ATT&CK w celu scharakteryzowania zachowania przeciwnika, kontekst historyczny ze znanych wzorców celowania przeciwnika oraz ocena wpływu powiązana z konkretnymi systemami krytycznymi dowództwa. Nic z tego nie jest obecne w kanale. Wszystko to wymaga czasu analityka do ręcznego wytworzenia.

Problem terminowości potęguje problem formatu. Zagrożenie zidentyfikowane i sklasyfikowane dwanaście godzin po pierwszym pojawieniu się odpowiednich wskaźników może już nie być możliwe do działania. Wykonawczy brief dostarczony oficerowi dowodzącemu o 8:00 dotyczący aktywności zagrożeń z poprzednich 24 godzin jest użyteczny. Brief dostarczony o 16:00 dotyczący tego samego okresu nie jest. Automatyczne generowanie raportów rozwiązuje oba problemy jednocześnie: produkuje dane wyjściowe gotowe dla dowódcy w spójnym formacie, i robi to wystarczająco szybko, że terminowość nie jest już determinowana przez dostępność analityka.

Typy raportów dla łańcucha dowodzenia

Nie każdy typ raportu służy każdemu odbiorcy. Zaprojektowanie taksonomii raportów przed wdrożeniem potoku jest niezbędne — LLM generuje narrację w ramach szablonu, a szablon musi być dopasowany do swojego odbiorcy. Cztery typy raportów pokrywają praktyczne potrzeby większości wojskowych struktur dowodzenia.

Wykonawczy brief o zagrożeniach

Wykonawczy brief o zagrożeniach to podsumowanie o maksymalnie dwóch stronach przeznaczone dla oficera dowodzącego i starszego personelu. Podaje aktualną postawę wobec zagrożeń (podwyższona, nominalna, zdegradowana), wymienia grupy przeciwnika z aktywnymi kampaniami istotnymi dla obszaru operacji dowództwa, charakteryzuje prawdopodobny cel każdej grupy w jednym lub dwóch zdaniach i wymienia trzy najlepsze zalecane działania na poziomie dowodzenia. Poziomy pewności są wyrażone w prostym języku — "oceniane z wysoką pewnością na podstawie trzech potwierdzających raportów źródłowych" — a nie jako prawdopodobieństwa dziesiętne. Klasyfikacja TLP pojawia się w nagłówku. Każde twierdzenie faktyczne jest możliwe do prześledzenia do rekordu źródłowego w bazie wiedzy CTI, ale cytowania źródeł pojawiają się w załączniku, a nie inline, aby zachować czytelność na poziomie wykonawczym.

Techniczny raport wskaźnikowy

Techniczny raport wskaźnikowy służy personelowi SOC i J6, który musi działać na podstawie konkretnych wskaźników leżących u podstaw wykonawczego briefu. Zawiera pełną tabelę IOC (z polami kontekstu: powiązana rodzina złośliwego oprogramowania, identyfikator techniki ATT&CK, wynik pewności, znaczniki czasu pierwszego i ostatniego widzenia, klasyfikacja TLP na wskaźnik), wskazówki wykrywania zmapowane do wdrożonego stosu sensorów dowództwa i eksport pakietu STIX 2.1. Ten typ raportu wymaga minimalnego zaangażowania LLM w treści — większość to ustrukturyzowane dane renderowane z bazy wiedzy CTI. LLM wnosi podsumowanie wprowadzające, narrację na poziomie techniki dla każdego klastra techniki ATT&CK obecnego w zestawie wskaźników oraz tekst wskazówek wykrywania.

Aktualizacja profilu przeciwnika

Profil przeciwnika to trwały dokument, aktualizowany gdy nowa aktywność kampanii dostarcza przyrostowej wiedzy o śledzonej grupie podmiotu zagrożenia. Opisuje znana strukturę organizacyjną grupy, główne sektory i obszary geograficzne celowania, zestaw narzędzi złośliwego oprogramowania, preferowane TTPs zmapowane do ATT&CK oraz historyczną oś czasu operacji. LLM generuje deltę — co zmieniło się od ostatniej wersji profilu — porównując zestaw rekordów źródłowych poprzedniego profilu z aktualnym i generując narrację dla nowych dodatków. Kontrola wersji dokumentu profilu jest obowiązkowa; każda aktualizacja zawiera numer wersji profilu i dziennik zmian podsumowujący, co zostało dodane lub zrewidowane.

Oś czasu incydentu

Gdy cyberincydent wpływający na sieci dowództwa zostanie potwierdzony lub podejrzewany, raport osi czasu incydentu rekonstruuje chronologiczną sekwencję zdarzeń z dostępnej telemetrii sensorów, dopasowań wywiadu o zagrożeniach i potwierdzenia OSINT. LLM syntetyzuje narracyjną oś czasu z rekordów zdarzeń uporządkowanych według znacznika czasu, identyfikuje prawdopodobne sekwencje technik ATT&CK (wskazując, do jakiej fazy kill chain dotarł przeciwnik) i produkuje ustrukturyzowaną tabelę zdarzeń do przeglądu przez personel dowodzenia. Oś czasu jest produktem najbardziej bezpośrednio użytecznym dla podsumowania dowodzenia po incydencie i dla informowania środków obronnych.

Potok LLM do generowania raportów

Architektura potoku, która produkuje wiarygodne automatyczne raporty CTI dla odbiorców wojskowych, ma pięć odrębnych etapów. Każdy etap ma konkretne wymagania dotyczące danych wejściowych, kontrole jakości i tryby awaryjne, które muszą być rozwiązane przed uruchomieniem potoku w środowisku dowodzenia.

Etap 1 — Strukturalne pobieranie CTI. Wszystkie dane źródłowe wchodzą do potoku w jednym z dwóch formatów: pakiety STIX 2.1 z subskrypcji kanałów i eksporty zdarzeń MISP lub wzbogacone rekordy zdarzeń produkowane przez upstream potok klasyfikacji. Surowe rekordy IOC bez mapowań technik ATT&CK, wyników pewności i klasyfikacji TLP są wstrzymywane przy pobieraniu i kierowane do potoku wzbogacania przed generowaniem raportów. Generator raportów wymaga ustrukturyzowanych danych wejściowych — próba generowania narracji gotowej dla dowódcy ze niewzbogaconych list IOC produkuje dane wyjściowe niskiej jakości, które nie przechodzą kontroli halucynacji i wymagają obszernej korekty analityka.

Etap 2 — Wybór szablonu i montaż danych wejściowych. Na podstawie żądania raportu (wyzwolonego harmonogramem, zdarzeniem progowym lub żądaniem analityka), potok wybiera odpowiedni szablon raportu i montuje zestaw rekordów wejściowych. W przypadku wykonawczego briefu oznacza to pobieranie wszystkich aktywnych rekordów kampanii dla bieżącego okresu raportowania, zgrupowanych według podmiotu zagrożenia, uszeregowanych według nasilenia. W przypadku aktualizacji profilu przeciwnika oznacza pobieranie zestawu rekordów delty — rekordów źródłowych dodanych od ostatniej wersji profilu. Montaż danych wejściowych jest deterministyczny; to samo żądanie względem tego samego zestawu rekordów produkuje te same zmontowane dane wejściowe, umożliwiając odtwarzalność i audyt.

Etap 3 — Generowanie narracji zakorzenionej w RAG. LLM generuje narrację sekcja po sekcji w oparciu o zmontowane rekordy wejściowe. RAG (retrieval-augmented generation) jest wymaganą architekturą: model generuje tekst zakorzeniony w konkretnych rekordach dostarczonych w kontekście promptu, a nie w oparciu o swoje wagi parametryczne. Każdy prompt instruuje model, aby cytował identyfikator rekordu źródłowego dla każdego twierdzenia faktycznego. Dane wyjściowe są zgodne ze ścisłym schematem JSON odwzorowującym sekcje szablonu raportu. Walidacja schematu uruchamia się natychmiast po odbiorze; błędy parsowania wyzwalają automatyczne ponowienie z instrukcjami korygującymi przed kierowaniem do przeglądu analityka.

Etap 4 — Wykrywanie halucynacji i weryfikacja zakorzenienia w faktach. Każdy wygenerowany raport przechodzi przez automatyczne sprawdzenie zakorzenienia w faktach przed dotarciem do ludzkiego recenzenta. Sprawdzenie weryfikuje, czy każdy cytowany identyfikator rekordu źródłowego istnieje w zestawie wejściowym i czy wygenerowane twierdzenie jest semantycznie zgodne z treścią cytowanego rekordu. Spójność semantyczna jest sprawdzana przy użyciu drugiego wywołania LLM z promptem binarnego osądu — lekkie podejście, które wychwytuje najczęstsze wzorce halucynacji bez konieczności wyczerpującego dopasowywania encji. Twierdzenia nieprzechodzące sprawdzenia spójności są oznaczane inline w roboczym raporcie. Rejestr znanych fałszywych twierdzeń (obalona atrybucja, fałszywie pozytywne wskaźniki) jest skanowany względem każdego raportu; każde dopasowanie blokuje rozpowszechnienie do czasu, gdy analityk rozwiąże konflikt.

Etap 5 — Przegląd i zatwierdzenie przez człowieka. Żaden automatyczny raport CTI nie jest rozpowszechniany bez zatwierdzenia przez ludzkiego recenzenta. Interfejs recenzenta prezentuje roboczy raport ze wszystkimi wyróżnionymi flagami zakorzenienia w faktach, pokazuje rekordy źródłowe wspierające każde oznaczone twierdzenie i wymaga wyraźnego działania zatwierdzającego przed wejściem raportu do kolejki rozpowszechniania. Tożsamość recenzenta, znacznik czasu i wszelkie dokonane korekty są rejestrowane jako część rekordu proweniencji raportu. To nie jest biurokratyczna formalność — w kontekście wojskowego CTI, automatyczny raport zawierający nieprawidłową atrybucję, która prowadzi do decyzji dowódczej, stanowi zagrożenie dla bezpieczeństwa operacyjnego, a nie tylko błąd wywiadowczy.

Wymagania dotyczące ustrukturyzowanych danych wejściowych

Pułap jakości automatycznych raportów CTI jest wyznaczany przez jakość ustrukturyzowanych danych wejściowych. Nie istnieje strategia inżynierii promptów, która kompensuje brakujące mapowania technik ATT&CK, nieobecne wyniki pewności lub nierozwiązane aliasy podmiotów zagrożeń. Poniższe wymagania dotyczące danych wejściowych są minimalne dla wiarygodnego generowania raportów.

Pakiety STIX 2.1 muszą zawierać rozwiązane relacje między obiektami. Pakiet zawierający tylko obiekty Wskaźnika bez obiektów Relacji łączących je z obiektami Podmiotu Zagrożenia, Złośliwego Oprogramowania i Wzorca Ataku nie zapewnia kontekstu atrybucji potrzebnego generatorowi raportów. Obiekty Kampanii łączące Podmiot Zagrożenia z wieloma obiektami Wskaźnika w przedziale czasu są szczególnie wartościowe dla generowania wykonawczych briefów, ponieważ zapewniają strukturalne dowody atrybucji aktywności bez konieczności wnioskowania przez LLM.

Mapowania technik ATT&CK muszą zawierać wyniki pewności na poziomie techniki. Mapowanie techniki bez wyniku pewności jest domyślnie traktowane jako niskie zaufanie. Wynik pewności jest używany do kalibrowania siły twierdzenia narracyjnego: wysokozaufane mapowanie T1071 (Application Layer Protocol) prowadzi do konkretnego twierdzenia o metodzie komunikacji C2 przeciwnika; mapowanie o niskim zaufaniu prowadzi do twierdzenia ostrożnego używającego języka takiego jak "możliwie zgodne z" zamiast "używa". To rozróżnienie ma znaczenie operacyjne na poziomie dowodzenia, gdzie nadmiernie pewny wywiad historycznie prowadził do złych decyzji.

Klasyfikacje TLP muszą być obecne na wszystkich rekordach źródłowych przed generowaniem raportów. Potok oblicza poziom TLP raportu jako maksimum wszystkich poziomów TLP rekordów źródłowych i stosuje go automatycznie. Rekord źródłowy bez klasyfikacji TLP jest domyślnie traktowany jako TLP:AMBER — najbardziej konserwatywny poziom nieblokowany — do czasu, gdy analityk przypisze wyraźną klasyfikację. To domyślnie konserwatywne podejście zapobiega przypadkowemu nadmiernemu udostępnianiu.

Kontrole jakości: zapobieganie halucynacjom w kontekście CTI

Zapobieganie halucynacjom w wojskowym kontekście CTI wymaga czegoś więcej niż standardowe podejścia do walidacji danych wyjściowych LLM stosowane w aplikacjach komercyjnych. Wymagane są trzy konkretne kontrole.

Po pierwsze, twierdzenia atrybucji muszą być zakorzenione w rzeczywistych dowodach infrastruktury kampanii, a nie w parametrycznej wiedzy modelu o grupach podmiotów zagrożeń. Model wytrenowany na publicznych raportach CTI wie dużo o grupach APT — ich narzędziach, wzorcach celowania, historycznych operacjach. Ta wiedza parametryczna nie może napędzać twierdzeń atrybucji w wygenerowanym raporcie wojskowym. Architektura RAG to egzekwuje: kontekst promptu zawiera tylko konkretne rekordy zmontowane dla tego raportu, a model jest instruowany, aby formułował twierdzenia atrybucji wyłącznie z tego kontekstu.

Po drugie, język pewności musi być skalibrowany do wyników pewności danych wejściowych, a nie do preferencji językowych modelu. LLM mają tendencję do pewnego stwierdzania w płynnej prozie. W kontekście CTI, sekcja raportu wygenerowana z rekordów o średnim wyniku pewności 0,62 musi używać języka ostrożnego — "oceniane z umiarkowaną pewnością", "zgodne z, ale niepotwierdzone jako" — niezależnie od tego, jak płynnie byłoby napisać twierdzenie asertywnie. Wymuszenie tego wymaga wyraźnych zasad mapowania pewności na język w prompcie oraz sprawdzenia po generowaniu, które skanuje dane wyjściowe pod kątem języka wysokopewnego twierdzenia w parze z rekordami danych wejściowych o niskim zaufaniu.

Po trzecie, kontrola wersji cyklicznych raportów jest mechanizmem kontroli jakości, a nie tylko operacyjną wygodą. Gdy generowana jest nowa wersja profilu przeciwnika, porównanie jej z poprzednią wersją i prezentowanie delty ludzkiemu recenzentowi znacznie ułatwia wykrywanie halucynacji. Recenzent, który widzi, że nowy profil twierdzi o zdolności, której grupie nie przypisano w poprzedniej wersji, natychmiast wie, aby sprawdzić rekordy źródłowe wspierające to twierdzenie. Bez porównania wersji nowo wprowadzone błędy są niewidoczne na tle pełnego raportu.

Aby dowiedzieć się więcej o tym, jak platformy CTI strukturyzują dane o zagrożeniach dla produktów wywiadowczych na poziomie dowodzenia, zapoznaj się z naszym przewodnikiem po architekturze platform CTI klasy obronnej.

Rozpowszechnianie: dopasowanie kanału do typu raportu

Automatyczne raporty są wartościowe tylko wtedy, gdy trafiają do właściwego odbiorcy przez właściwy kanał z odpowiednimi kontrolami dostępu. Wojskowe środowiska dowodzenia mają konkretne wymagania dotyczące rozpowszechniania, których komercyjne platformy CTI nie uwzględniają.

XMPP i push w czasie rzeczywistym

W przypadku wrażliwych czasowo briefów wykonawczych i powiadomień o incydentach o wysokim nasileniu, XMPP push dostarcza krótką wiadomość alertu — postawa wobec zagrożeń, grupa przeciwnika, zalecane działanie i bezpieczny link do pobrania — do personelu dowodzenia w ciągu sekund od zatwierdzenia raportu. XMPP jest preferowanym protokołem do taktycznych komunikatów dowodzenia w wielu środowiskach obronnych ze względu na federacyjną architekturę i kolejkowanie wiadomości offline. Pełny raport jest dostępny przez link do pobrania; wiadomość XMPP jest powiadomieniem, a nie samym raportem.

MISP push do technicznego rozpowszechniania

Techniczne raporty wskaźnikowe przekazywane są bezpośrednio do instancji MISP dowództwa jako ustrukturyzowane zdarzenia z tagami galaktyki ATT&CK, oznaczeniami TLP i powiązanymi obiektami STIX. Reguły korelacji SIEM i narzędzia wykrywania zagrożeń na punktach końcowych subskrybują strumień zdarzeń MISP i automatycznie pobierają nowe wskaźniki bez konieczności interwencji analityka dla każdego raportu. Kontrole dystrybucji MISP egzekwują ograniczenia TLP na poziomie grupy udostępniania, zapewniając, że wskaźniki oznaczone TLP:AMBER nie docierają do nieautoryzowanych serwerów w federacji.

PDF i DOCX dla łańcucha dowodzenia

Briefy wykonawcze i profile przeciwnika są renderowane do PDF do formalnego rozpowszechniania przez systemy zarządzania dokumentami dowodzenia. Wyjście PDF zawiera metadane proweniencji raportu — identyfikator raportu, znacznik czasu generowania, wersja ATT&CK, tożsamość recenzenta, klasyfikacja TLP — w ustandaryzowanym nagłówku. Wyjście DOCX jest dostarczane dla raportów, które będą adnotowane i przekazywane przez personel dowodzenia. Oba formaty są generowane z tego samego rekordu źródłowego JSON, zapewniając synchronizację wersji ustrukturyzowanej i czytelnej dla człowieka. Szablony formatowania wymuszają spójny układ we wszystkich typach raportów, dzięki czemu personel dowodzenia oswaja się ze strukturą dokumentu, a nie reorientuje się do innego układu za każdym razem.

Aby uzyskać kontekst dotyczący tego, jak potoki monitorowania OSINT zasilają ustrukturyzowane dane CTI w produkty wywiadowcze na poziomie dowodzenia, zapoznaj się z naszym przewodnikiem po architekturze monitorowania zagrożeń OSINT klasy obronnej.

Corvus.Sense: ustrukturyzowane briefy wywiadowcze o zagrożeniach z monitorowania OSINT

Potok opisany w tym artykule wymaga ciągłego źródła ustrukturyzowanych, wzbogaconych danych CTI jako upstream danych wejściowych. Kanały Telegram, otwarte platformy komunikacyjne i źródła OSINT należą do danych wejściowych o najwyższym sygnale do monitorowania aktywności przeciwnika w obecnych środowiskach konfliktów — ale dostarczają nieustrukturyzowaną treść, która wymaga automatycznej klasyfikacji i wzbogacania przed napędzaniem generowania raportów.

Corvus.Sense zapewnia tę upstream warstwę: ciągłe monitorowanie kanałów Telegram i źródeł OSINT, automatyczna klasyfikacja treści zagrożeń oparta na LLM, mapowanie technik ATT&CK z wynikami pewności, klasyfikacja TLP i eksportowalne do STIX ustrukturyzowane rekordy wywiadowcze. Wynik to ustrukturyzowane dane wejściowe CTI, których wymaga potok generowania raportów — rekordy podmiotów zagrożeń, osie czasu technik, zestawy wskaźników i dane profilu przeciwnika zmontowane z monitorowanych otwartych źródeł w czasie zbliżonym do rzeczywistego.