APT(지능형지속위협)의 빠른 진화에 대응하려면 사이버 위협 인텔리전스(CTI)를 실행 가능한 탐지 규칙으로 동적으로 전환하는 메커니즘이 필요하다. Sigma 규칙은 플랫폼 독립적으로 탐지 로직을 표현해 다양한 SIEM 쿼리로 변환할 수 있어 현대 위협 탐지의 핵심이지만, 수작업 작성은 실수가 잦고 방대한 지식이 필요해 확장성이 떨어지며 기존 저장소도 신규 위협을 따라잡지 못한다. 이 연구는 비정형 CTI 보고서를 Sigma 규칙으로 자동 변환하는 'AUTOSIGMA'를 제안하는데, 언어모델에만 의존하지 않고 구조화된 지식베이스로 부분 입력을 보강한 뒤 기존 Sigma 규칙 저장소와 매칭하고, LLM-as-a-Judge 메커니즘으로 규칙을 반복 검증한다. 다수의 실제 APT 보고서와 보안 블로그를 대상으로 한 평가에서 AUTOSIGMA는 규칙 유효성, 관련성, MITRE ATT&CK 기법 커버리지, 입력 품질에 대한 강건성 면에서 대안 솔루션과 LLM 모델을 능가했다.

• •AUTOSIGMA: 비정형 CTI 보고서를 Sigma 탐지 규칙으로 자동 변환하는 시스템
• •구조화된 지식베이스로 입력 보강 → 기존 규칙 저장소 매칭 → LLM-as-a-Judge 반복 검증의 다단계 구조
• •실제 APT 보고서·보안 블로그 평가에서 규칙 유효성·관련성·MITRE ATT&CK 커버리지 우위 확인
• •언어모델 단독 방식보다 입력 품질 변화에 대한 강건성도 더 높음