МЕТОД СИНТЕЗУ ТА ПРІОРИТИЗАЦІЇ СЦЕНАРІЇВ КІБЕРІНЦИДЕНТІВ У КРИТИЧНІЙ ІНФРАСТРУКТУРІ З ВИКОРИСТАННЯМ LLM І МАІ

Анотація

У статті розглянуто, як пов’язати кожен етап багатоетапної кібератаки на об’єкти критичної інфраструктури з активами, обліковими записами та системами оперативного керування, залученими до нього. Наявні методи на основі дерев атак потребують наперед заданої моделі системи, а підходи на основі великих мовних моделей (LLM) не перевіряють, чи спирається кожен згенерований етап атаки на організаційні об’єкти. Дослідження має на меті розробити й експериментально перевірити метод підтримки прийняття рішень на основі LLM для автоматизованого синтезу та багатокритеріальної пріоритизації сценаріїв кіберінцидентів. Запропонований метод ґрунтується на асиметричній генерації: організацію в початковому стані функціонування ієрархічно декомпозують на активи, а причинно-наслідкові послідовності подій будують у зворотному напрямку від заданого інциденту. Згенеровані LLM структури перевіряють за JSON-схемою та на узгодженість графів, а аналітик визначає відсутні елементи для локального уточнення. Завершені сценарії ранжують за пріоритетом методом аналізу ієрархій (МАІ). Послідовність подій вважають сценарієм лише тоді, коли кожен її опорний об’єкт належить до організаційної ієрархії. Для перевірки методу використано змодельований випадок несанкціонованого перемикання, яке знеструмлює підстанції регіонального оператора системи розподілу електроенергії в Україні. За чотири раунди уточнення відновлено всі події еталонної моделі разом із їхніми причинно-наслідковими зв’язками та зв’язками з об’єктами, а також побудовано п’ять завершених варіантів сценаріїв атак. Встановлено, що чотири з них залежали від одного зв’язку між спільним сервісом керування та організаційною ієрархією. За результатами МАІ сценарій компрометації облікових даних персоналу отримав найвищий пріоритет з оцінкою 0,816 і випередив коротший сценарій захоплення сеансу диспетчера. Перше місце він зберіг в усіх прогонах аналізу чутливості. Отримані результати підтверджують, що поєднання LLM із формальними перевірками графів виявляє етапи атаки, не підкріплені організаційними об’єктами. На практиці центри операцій безпеки (SOC) можуть використовувати підхід, щоб визначати критичні залежності атак і вирішувати, які облікові дані та оперативні процедури захищати насамперед.