論文の概要: Sigma-Hunter: A Domain-Specific Language Model for Threat Hunting and Detection Engineering

• arxiv url: http://arxiv.org/abs/2610.09007v1
• Date: Tue, 06 Oct 2026 19:02:42 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-08 21:58:22.564645
• Title: Sigma-Hunter: A Domain-Specific Language Model for Threat Hunting and Detection Engineering
• Title（参考訳）: Sigma-Hunter: 脅威ハンティングと検出エンジニアリングのためのドメイン特化言語モデル
• Abstract要約: 汎用大規模言語モデル(LLM)はそのようなルールをドラフトできるが、しばしば無効なYAMLを生成する。 本稿では,ドメイン適応型LLMであるemphSigma-Hunterについて述べる。
• 参考スコア（独自算出の注目度）: 3.698140362938903
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Detection engineers must translate threat reports, forensic observations, and hunt hypotheses into precise, testable rules. General-purpose large language models (LLMs) can draft such rules, but often produce invalid YAML, incorrect log sources, unsupported fields, or overly broad detection logic. This paper presents \emph{Sigma-Hunter}, a domain-adapted LLM for analyst-assistive Sigma rule generation and threat hunting. We build an instruction-tuning dataset from 3,635 validated open-source Sigma rules, expanded into 7,663 question-answer and analyst-reasoning examples. Each source rule is assigned to a single train, validation, or test partition before this expansion, so no rule leaks across splits. We fine-tune a 7B Mistral model and a Phi-4 model with LoRA and score held-out rule generations on syntax, approximate field consistency, and a semantic judgment of detection logic, completeness, selectivity, and log-source alignment. Sigma-Hunter-Mistral scores 8.17 overall, against 7.88 for the strongest general-purpose baseline and 4.61 for untuned Mistral. Two findings stand out: domain adaptation enables a compact 7B model to perform competitively with larger general-purpose models on this structured task, and syntactic validity is a weak proxy for semantic rule quality, as several baselines emit well-formed YAML carrying weak detection logic. The adapted models run locally, which suits detection engineering in disconnected environments where analysts cannot reach hosted model services.
• Abstract（参考訳）: 検出エンジニアは脅威レポート、法医学的な観察、仮説を正確に検証可能なルールに変換する必要がある。 汎用大規模言語モデル(LLM)はそのようなルールをドラフトすることができるが、しばしば不正なYAML、不正なログソース、サポートフィールド、あるいは過度に広い検出ロジックを生成する。 本稿では,分析支援型シグマルール生成と脅威ハンティングのためのドメイン適応型LLMである \emph{Sigma-Hunter} を提案する。 我々は3,635の検証済みオープンソースSigmaルールからインストラクションチューニングデータセットを構築し、7,663の質問応答とアナリスト推論の例に拡張した。 各ソースルールは、この拡張の前に単一のトレイン、バリデーション、テストパーティションに割り当てられるため、スプリット間でルールがリークされることはない。 我々は、7BミストラルモデルとPhi-4モデルをLoRAで微調整し、構文、近似場整合性、および検出論理、完全性、選択性、ログソースアライメントのセマンティック判断に基づいてホールトアウトルール生成をスコアする。 Sigma-Hunter-Mistralは総合8.17点、最強の汎用ベースラインは7.88点、未チューニングミストラルは4.61点である。 ドメイン適応により、コンパクトな7Bモデルは、この構造化されたタスク上でより大きな汎用モデルと競合し、構文的妥当性はセマンティックなルール品質の弱いプロキシであり、いくつかのベースラインは、弱い検出ロジックを持つ十分に整形されたYAMLを出力する。 適応モデルはローカルで実行され、アナリストがホストされたモデルサービスに到達できない非接続環境で検出エンジニアリングに適合する。

関連論文リスト

• SIGMA: Self-Improving Alignment Generalization from a Model Spec [67.90375426350123]
  LLMエージェントは複雑なタスクを実行する能力がますます高まっている。 これにより、適切な安全アライメントなしに能力が増大するリスクが増大する。 我々は、アライメント自己改善を可能にするデータ生成およびトレーニングパイプラインであるSIGMAを提案する。
  論文  参考訳（メタデータ） (2026-10-06T08:09:56Z)
• SeGDeP: Semantic- and Geometric-Aware Decoupled Prompts for Reasoning Segmentation [51.46828526392219]
  推論セグメンテーションは暗黙の言語学的結論を正確なマスクに変換する。 既存のMLLMセグメンタインタフェースでは、特別なトリガーを使用するか、両方の信号を1つのコンテキストに圧縮する。 明示的なWhat-whereインターフェースであるSeGDePを提示する。
  論文  参考訳（メタデータ） (2026-09-08T15:11:32Z)
• From Threat Intelligence to Detection: Knowledge-driven Enrichment and Template-based Rule Grounding for Automated Sigma Rule Generation [14.55397609275218]
  AUTO SIGMAは、構造化されていないサイバー脅威情報レポートを関連するSigmaルールに変換する自動化ソリューションである。 知識駆動のエンリッチメント、テンプレートベースのルールグラウンディング、マルチステージソリューションを組み合わせたものだ。 ルール妥当性、ルール関連性、MITRE ATT&CK技術カバレッジ、入力品質に対する堅牢性において、ソリューションやLLMモデルよりも優れています。
  論文  参考訳（メタデータ） (2026-08-19T15:11:43Z)
• Confidently Wrong: Exception Chain Collapse in Frontier LLM Rule Evaluation [0.0]
  フェデレーションクラスをフロンティアの大規模言語モデルで文書化する。 故障は最初の観測で再現されるが、経験的表面は不安定である。 規制されたフロンティアモデルの正確性は、注意を払わずにシフトする移動したコンプライアンス境界である。
  論文  参考訳（メタデータ） (2026-07-25T22:40:02Z)
• Beyond the Syntax: Do Security Experts Trust LLMs for NIDS Rule Engineering? [70.17374586573033]
  本稿では,Large Language Models(LLMs)に基づくNIDSルールエンジニアリングを人間中心で調査する。 LLMは構文的に正しい規則を生成するが、専門家は部分的にしか展開できないと考えている。 大規模モデルは構文的に有効な規則を一貫して生成するが、小型モデルはIDSルールの生成にはほとんど効果がない。
  論文  参考訳（メタデータ） (2026-07-07T07:09:56Z)
• From Attack Simulation to SIEM Rule: Deterministic Detection-as-Code Synthesis with Probe-Level Traceability [51.56484100374058]
  セキュリティチームは、自身のシステムに対する攻撃をシミュレートして、監視が真の侵入者を捕まえるかどうかをチェックする。 人間はそのギャップを手でブリッジし、それぞれの発見を読み、対応するシグマルールを書きます。 ロックされたコーパスからプローブが引き出されると,この変換が部分的に自動化されることを示す。
  論文  参考訳（メタデータ） (2026-06-03T14:26:25Z)
• Off-the-Shelf LLMs as Process Scorers: Training-Free Alternative to PRMs for Mathematical Reasoning [51.88950852117154]
  Chunk-Level Guided Generationは、既製の大規模言語モデルをプロセススコアラとして使用する、トレーニング不要の代替手段である。 本研究では,系統的な長さバイアスのため,大モデル確率の可変長推論ステップが信頼できないことを示す。 Chunk-Level Guided Generation は PRM guided search よりもかなり短い推論トレースを生成する。
  論文  参考訳（メタデータ） (2026-06-01T04:43:36Z)
• LLMEval-Logic: A Solver-Verified Chinese Benchmark for Logical Reasoning of LLMs with Adversarial Hardening [69.1037790901185]
  現実的な状況シナリオから構築した中国の論理的推論ベンチマークLLMEval-Logicを提案する。 パイプラインのフォワードオーサとエキスパート-オーディット 自然言語アイテムは、参照の形式化とともに、Z3による注釈付き回答を検証し、自然言語から形式へのグレーディングのためのエキスパートルーブリックを構築し、クローズドループの逆行ワークフローを通じて選択されたアイテムを硬化させる。
  論文  参考訳（メタデータ） (2026-05-19T09:40:29Z)
• Distributional Energy-Based Models for Uncertainty-Aware Structured LLM Reasoning [40.342912574072024]
  大規模言語モデルは、旅行計画やコードソリューションのような構造化されたアウトプットを生成する。 個々の推論ステップは正しく見えるが、アウトプット全体が予算に違反したり、テストケースに失敗したり、あるいは以前の推論に矛盾することがある。 構造化LCM出力の検証のための決定論的解析制約付き学習品質スコアラを提案する。
  論文  参考訳（メタデータ） (2026-05-15T17:08:27Z)
• DiagnosticIQ: A Benchmark for LLM-Based Industrial Maintenance Action Recommendation from Symbolic Rules [4.124344125532972]
  複雑な工業資産の監視は、センサーの条件に基づいて引き起こされるエンジニアによる象徴的な規則に依存している。 ルールをメンテナンスステップに変換するには、長年の実践を通じて得られた資産固有の知識が必要です。 このルール・ツー・アクション・ステップの意思決定支援としてLLMが有効か検討し,6,690名の専門家による複数選択質問をベンチマークした。
  論文  参考訳（メタデータ） (2026-05-09T02:17:39Z)
• When the Ruler is Broken: Parsing-Induced Suppression in LLM-Based Security Log Evaluation [0.0]
  完全に機能的なモデルが完全に非機能なカテゴリに現れる可能性のある,無音で体系的な評価誤差のクラスを実証する。 SOC-Bench v0は、標準化された13のカテゴリの脅威分類、最小統計パワー要件、ファジィフィールド抽出仕様、および将来のSOC研究における特定の精度の歪みを防ぐための公開スコアリングスクリプトからなるベンチマークフレームワークである。
  論文  参考訳（メタデータ） (2026-05-08T06:03:11Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。