Центры мониторинга безопасности (SOC) ежедневно разбирают миллионы событий. Среди них могут затеряться важные сигналы: поток оповещений утомляет аналитиков, а расследование требует переходить между панелями мониторинга, документацией, базами уязвимостей и лентами threat intelligence. Распределённая инфраструктура, где соседствуют локальные системы и облачные сервисы, усложняет общую картину.
ИИ помогает сократить повторяющуюся работу: находит закономерности в больших массивах данных, добавляет контекст к оповещениям, суммирует результаты и предлагает дальнейшие шаги. Это полезно и для обнаружения угроз, и для реагирования на инциденты. Злоумышленники тоже используют ИИ, чтобы автоматизировать атаки и быстрее искать уязвимости. В этой гонке рекомендации модели могут ускорить анализ, но проверять их и принимать значимые решения должен специалист.
Wazuh предлагает два пути использования ИИ. Подписчикам Wazuh Cloud доступен Wazuh AI Analyst. Организации, которые самостоятельно разворачивают Wazuh, могут подключать сторонние решения или запускать собственную языковую модель. Выбор зависит от требований к конфиденциальности, размещению данных и устройству инфраструктуры.
Wazuh AI Analyst анализирует данные безопасности с помощью Amazon Bedrock и Claude от Anthropic. Сервис не требует ручной настройки и по расписанию подписки отправляет отчёты на зарегистрированный адрес электронной почты. Их также можно открыть в консоли Wazuh Cloud: Environments > AI Reports.
В отчёте есть ключевые индикаторы, гистограмма защищённых конечных устройств, объём оповещений, активные уязвимости и сводка состояния безопасности; к письму прилагается полный PDF-отчёт. Данные подписки не передаются третьим сторонам и не используются для обучения моделей: их обрабатывают только ради подготовки отчётов. Передача шифруется, обработка изолирована, постоянное хранение не предусмотрено. Рекомендации сервиса носят справочный характер: перед действиями их следует сверять с внутренними политиками организации.
Для более строгих требований к приватности можно развернуть М⃰ Llama 3 локально на сервере Wazuh с помощью Ollama. Python-скрипт распаковывает архивные журналы за выбранный период, преобразует их в векторы и помещает в хранилище FAISS. Затем пользователи задают вопросы чат-боту на LangChain. Данные при этом не отправляются облачному провайдеру. Этот вариант подходит командам, которым важно сохранять обработку внутри собственной инфраструктуры. Подробности описаны в публикации Wazuh Leveraging artificial intelligence for threat hunting in Wazuh.
Другой сценарий использует Claude 3.5 Haiku от Anthropic, размещённую в Amazon Bedrock. Модель можно представить в панели Wazuh как чат через OpenSearch Assistant. Для настройки требуется включить модель в Bedrock, установить нужные плагины OpenSearch и создать коннектор ML Commons, модель и разговорного агента. Ассистент способен подсказать, что делать с обнаруженной проблемой или как настроить отдельные параметры. Этому посвящена публикация Leveraging Claude Haiku in the Wazuh dashboard for LLM-powered insights.
Эти схемы решают разные задачи. Wazuh AI Analyst даёт подписчикам Wazuh Cloud регулярную сводку по индикаторам, оповещениям, конечным устройствам, уязвимостям и общему состоянию защиты. Llama 3 с Ollama оставляет анализ журналов локально. Claude 3.5 Haiku через Amazon Bedrock и OpenSearch Assistant предлагает облачный чат-интерфейс. В любом варианте ИИ может ускорить сортировку и первичный анализ, но ответственность за проверку выводов и решения по инцидентам остаётся у аналитиков.
ИИ помогает сократить повторяющуюся работу: находит закономерности в больших массивах данных, добавляет контекст к оповещениям, суммирует результаты и предлагает дальнейшие шаги. Это полезно и для обнаружения угроз, и для реагирования на инциденты. Злоумышленники тоже используют ИИ, чтобы автоматизировать атаки и быстрее искать уязвимости. В этой гонке рекомендации модели могут ускорить анализ, но проверять их и принимать значимые решения должен специалист.
Wazuh предлагает два пути использования ИИ. Подписчикам Wazuh Cloud доступен Wazuh AI Analyst. Организации, которые самостоятельно разворачивают Wazuh, могут подключать сторонние решения или запускать собственную языковую модель. Выбор зависит от требований к конфиденциальности, размещению данных и устройству инфраструктуры.
Wazuh AI Analyst анализирует данные безопасности с помощью Amazon Bedrock и Claude от Anthropic. Сервис не требует ручной настройки и по расписанию подписки отправляет отчёты на зарегистрированный адрес электронной почты. Их также можно открыть в консоли Wazuh Cloud: Environments > AI Reports.
В отчёте есть ключевые индикаторы, гистограмма защищённых конечных устройств, объём оповещений, активные уязвимости и сводка состояния безопасности; к письму прилагается полный PDF-отчёт. Данные подписки не передаются третьим сторонам и не используются для обучения моделей: их обрабатывают только ради подготовки отчётов. Передача шифруется, обработка изолирована, постоянное хранение не предусмотрено. Рекомендации сервиса носят справочный характер: перед действиями их следует сверять с внутренними политиками организации.
Для более строгих требований к приватности можно развернуть М⃰ Llama 3 локально на сервере Wazuh с помощью Ollama. Python-скрипт распаковывает архивные журналы за выбранный период, преобразует их в векторы и помещает в хранилище FAISS. Затем пользователи задают вопросы чат-боту на LangChain. Данные при этом не отправляются облачному провайдеру. Этот вариант подходит командам, которым важно сохранять обработку внутри собственной инфраструктуры. Подробности описаны в публикации Wazuh Leveraging artificial intelligence for threat hunting in Wazuh.
Другой сценарий использует Claude 3.5 Haiku от Anthropic, размещённую в Amazon Bedrock. Модель можно представить в панели Wazuh как чат через OpenSearch Assistant. Для настройки требуется включить модель в Bedrock, установить нужные плагины OpenSearch и создать коннектор ML Commons, модель и разговорного агента. Ассистент способен подсказать, что делать с обнаруженной проблемой или как настроить отдельные параметры. Этому посвящена публикация Leveraging Claude Haiku in the Wazuh dashboard for LLM-powered insights.
Эти схемы решают разные задачи. Wazuh AI Analyst даёт подписчикам Wazuh Cloud регулярную сводку по индикаторам, оповещениям, конечным устройствам, уязвимостям и общему состоянию защиты. Llama 3 с Ollama оставляет анализ журналов локально. Claude 3.5 Haiku через Amazon Bedrock и OpenSearch Assistant предлагает облачный чат-интерфейс. В любом варианте ИИ может ускорить сортировку и первичный анализ, но ответственность за проверку выводов и решения по инцидентам остаётся у аналитиков.
