МЕТОД АВТОМАТИЗАЦІЇ ЗВІТІВ ПРО КІБЕРІНЦИДЕНТИ З ВИКОРИСТАННЯМ LLM

Анотація

Роботу присвячено питанням автоматизації звітності в складі процесів Threat Inteligence. Метою роботи є розробка методу, яка дозволяє зменшити навантаження на працівників, які обробляють та документально фіксують результати кіберінцидентів у відповідності до вимог нормативних документів. Серед основних результатів роботи запропоновано шаблон інструкцій багаторазового використання для великої мовної моделі (ВММ). Представлений шаблон дає змогу надати чіткі вказівки, а саме необхідні та опціональні поля, припустимі значення, які вносяться до полів звіту. Запропоновано програмні моделі на основі бібліотеки Pydantic для генерації та перевірки відповіді у форматі JSON від ВММ. Це дозволяє скоротити довжину інструкцій для ВММ приблизно в 3 рази. Запропоновано архітектуру RAG-пайплайну для врахування конкретного контексту нормативних документів в області звітності щодо кіберінцидентів. Такий пайплайн дозволяє слідувати вимогам законодавства та стандартів без потреби прописувати ці вимоги вручну в інструкціях, що прискорює процес генерації та покращує якість звітів.  Розроблено програмну модель, яка дозволяє автоматизовану генерацію звіту з кіберінцидентів. Така модель не потребує ручного заповнення характеристик інциденту, взаємодії користувача з платформою Threat Intelligence на прикладі MISP (Malware Information Sharing Platform). Цей підхід дозволяє знизити час створення звіту з годин до хвилин, і покращити ефективність обміну даними про загрози, уникаючи часових та фінансових вкладень. Ще одним результатом роботи є порівняльний аналіз генерації звітів при використанні різних ВММ, зокрема Claude Sonnet 4.5, Gemini 2.5 pro, Grok xAI, GPT 5, DeepSeek, Llama в розрізі якості та вартості генерації звіту. Для порівняння запропоновано критерії якості звіту, оцінка відповідності критеріям проводилась експертним методом. В результаті виділено моделі Claude Sonnet 4.5, Gemini 2.5 pro як лідерів стосовно якості згенерованих звітів. Встановлено, що ВММ є перспективним інструментом для впровадження в процеси обробки та комунікації в області інцидентів кібербезпеки, їх використання дозволяє повністю автоматизувати процес звітності Threat Intelligence в організації.