CISA KEV Threat Intel Orchestrator

Конвейер с нулевым касанием, который еженедельно автоматически превращает новые вооружённые CVE из каталога CISA Known Exploited Vulnerabilities (KEV) в готовые к эксплуатации Sigma-правила обнаружения.

Проблема

Ручное превращение новой записи KEV в работающее правило обнаружения — медленный процесс: изучить бюллетень, исследовать шаблон атаки, написать Sigma-правило, протестировать его, проинформировать команду. Это примерно 4–6 часов на один CVE. Десять новых записей за неделю — это целая неделя работы, а в большинстве SOC нет лишнего аналитика каждую неделю.

Что это делает

Каждый понедельник в 8:00 утра конвейер:

1. Загружает актуальный каталог CISA KEV и выделяет недавно добавленные, вооружённые CVE с момента последнего запуска.
2. Генерирует Sigma-правило обнаружения для каждого CVE с помощью Google Gemini, ограниченное структурированным промптом, который заставляет модель:
   • нацеливаться на конкретный продукт/вендора, указанный в CVE (не общее правило-заполнитель)
   • использовать правильные EventID Sysmon для данной техники (создание процесса, сеть, загрузка образа, LSASS, реестр)
   • включать 3–5 фильтров-условий для контроля ложных срабатываний
   • сопоставляться с соответствующей техникой MITRE ATT&CK
   • выводить только чистый YAML, готовый к загрузке в Splunk, Elastic или Wazuh
3. Записывает каждый обработанный CVE в Google Sheets — это непрерывный аудиторский след с отметками времени: когда уязвимость была раскрыта и когда для неё появилось правило обнаружения. Создано с учётом требований к доказательствам упреждающего управления уязвимостями SOC 2 / ISO 27001, а не просто как лог.
4. Отправляет еженедельный обзор на электронную почту, готовый для аналитика, со списком CVE, уровнем серьёзности и черновиком логики обнаружения.