# Generowanie reguł detekcji z raportów o zagrożeniach

EN: **LLM-assisted detection rule generation** · id `detectionrulegen` · aliases: detection engineering with LLMs, Sigma rule generation, YARA rule generation, automated detection rules, generowanie reguł Sigma

Path: [AI Atlas](https://aiatlasgraph.com/llms.txt) › [AI w cyberbezpieczeństwie](https://aiatlasgraph.com/t/cyberai.md) › [AI w zespole reagowania (SOC)](https://aiatlasgraph.com/t/secopsai.md) › Generowanie reguł detekcji z raportów o zagrożeniach

## Description

- PL: Użycie modeli językowych do zamiany opisów ataków i wskaźników z raportów na reguły wykrywania w formatach takich jak Sigma czy YARA.
- EN: Using language models to turn attack descriptions and indicators from reports into detection rules in formats such as Sigma or YARA.

## In one sentence

- PL: Model czyta opis nowego ataku i proponuje gotowy filtr, który wyłapie podobne działania w firmowych dziennikach.
- EN: A model reads a description of a new attack and drafts a ready filter that catches similar activity in company logs.

## Problem it solves

- PL: Raporty o nowych atakach ukazują się codziennie, a ręczne przepisanie każdego na filtry zajmuje specjaliście godziny.
- EN: Reports on new attacks come out daily, and hand-translating each into filters takes a specialist hours.

## What it does

- PL: Jak tłumacz przekładający list gończy na instrukcję dla ochroniarzy: z opowieści robi konkretne „sprawdzaj to i to”.
- EN: Like a translator turning a wanted poster into instructions for guards: from a story it makes a concrete 'check this and this'.

## Everyday example

- PL: Rano ukazuje się raport o nowej kampanii; przed południem analityk dostaje szkic filtra, poprawia dwa pola i włącza go w systemie monitoringu.
- EN: A report on a new campaign comes out in the morning; by noon the analyst has a draft filter, fixes two fields and switches it on in monitoring.

## This concerns you if you…

- PL: piszesz lub utrzymujesz reguły wykrywania
- PL: czytasz raporty o zagrożeniach
- PL: chcesz zautomatyzować pracę zespołu reagowania
- EN: write or maintain detection rules
- EN: read threat reports
- EN: want to automate incident-response work

## Keywords

Sigma rules · YARA · detection engineering · IoC extraction · SIEM query · Splunk SPL · KQL · LLMCloudHunter · detection-as-code

## How it works

- PL: Model wydobywa z raportu CTI zachowania i wskaźniki, a następnie tworzy kandydacką regułę Sigma. LLMCloudHunter dodatkowo obsługuje tekst i obrazy oraz sprawdza, czy reguła kompiluje się lub konwertuje do składni narzędzi docelowych. Test na danych organizacji i przegląd człowieka pozostają osobnym etapem.
- EN: A model extracts behaviors and indicators from a CTI report and then produces a candidate Sigma rule. LLMCloudHunter also handles text and images and checks whether the rule compiles or converts to target-tool syntax. Testing on organizational data and human review remain separate steps.

## Limits

- PL: LLMCloudHunter oceniono na 12 raportach CTI. Wysoka kompilowalność i konwertowalność składni nie dowodzą skuteczności produkcyjnej ani niskiej liczby fałszywych alarmów; reguły wymagają walidacji na lokalnych logach.
- EN: LLMCloudHunter was evaluated on 12 CTI reports. High compilation and conversion rates do not establish production effectiveness or low false-positive rates; rules require validation on local logs.

## Key terms

- PL: **reguła detekcji**: Warunek na dziennikach, który po spełnieniu podnosi alarm.
- PL: **Sigma**: Otwarty format reguł niezależny od konkretnego systemu monitoringu.
- PL: **wskaźnik kompromitacji**: Ślad ataku, np. adres, skrót pliku lub nazwa procesu.
- EN: **detection rule**: A condition over logs that raises an alarm when met.
- EN: **Sigma**: An open rule format independent of any specific monitoring system.
- EN: **indicator of compromise**: A trace of an attack, e.g. an address, file hash or process name.

## Know first

- [Wydobywanie informacji z tekstu (nazwy własne, relacje) (Information extraction (named entities and relations))](https://aiatlasgraph.com/t/infoextraction.md)
- [Przykłady w poleceniu (few-shot) (Few-shot prompting and in-context learning)](https://aiatlasgraph.com/t/fewshotprompting.md)

## Related topics

Untyped, symmetric "see also" links.

- [Mapowanie opisów ataków na techniki MITRE ATT&CK (Automated mapping of threat text to ATT&CK techniques)](https://aiatlasgraph.com/t/ttpmapping.md)

## Sources

- [LLMCloudHunter: Harnessing LLMs for Automated Extraction of Detection Rules from Cloud-Based CTI](<https://arxiv.org/abs/2407.05194>) `schwartz-llmcloudhunter-2024` · by Shaked Schwartz, Tomer Zimmerman, Asaf Shabtai

---

AI Atlas revision 122 (2026-10-30) · HTML: https://aiatlasgraph.com/t/detectionrulegen · index: https://aiatlasgraph.com/llms.txt · everything: https://aiatlasgraph.com/llms-full.txt · updated 2026-10-30