Wazuh расширил ИИ-инструменты для аналитиков SOC
Wazuh представил AI Analyst для подписок Wazuh Cloud и описал варианты подключения языковых моделей к самостоятельно развёрнутым инсталляциям. Облачный сервис готовит регулярные отчёты по ключевым показателям безопасности, числу защищённых конечных точек, объёму предупреждений, активным уязвимостям и общей оценке состояния среды.
Разработчик позиционирует ИИ как инструмент поддержки аналитиков SOC, а не их замену. В центрах мониторинга ежедневно обрабатываются миллионы событий от конечных устройств, облачных нагрузок, сетевого оборудования, систем управления идентификацией и бизнес-приложений. На сопоставление сигналов, поиск документации и выбор следующего шага расследования уходит значительная часть времени.
Автоматические отчёты в Wazuh Cloud
Wazuh AI Analyst работает без ручной настройки. Сервис обрабатывает данные подписки через Amazon Bedrock и модель Claude компании Anthropic, а затем по расписанию отправляет на зарегистрированный адрес письмо с показателями, гистограммой защищённых конечных точек, сводкой алертов и уязвимостей. К письму прикладывается полный PDF-отчёт.
Просматривать эти материалы можно и в консоли Wazuh Cloud, в разделе Environments > AI Reports. Wazuh заявляет, что данные подписки не передаются третьим сторонам и не используются для обучения моделей: они обрабатываются только для подготовки отчётов, передаются в зашифрованном виде, изолируются в процессе обработки и не хранятся постоянно.
Локальные и внешние модели для расследований
Для организаций с собственной установкой Wazuh доступны интеграции с ИИ-провайдерами и самостоятельно размещёнными моделями. В локальном сценарии Ollama запускает открытую модель Meta Llama 3 на сервере Wazuh. Python-скрипт распаковывает журналы за выбранный период, векторизует их в хранилище FAISS, а чат-бот на базе LangChain отвечает на запросы к этим данным.
Такой вариант сохраняет журналы внутри сети организации и рассчитан на команды со строгими требованиями к конфиденциальности или месту хранения данных. Внешний вариант выводит Claude 3.5 Haiku, размещённую в Amazon Bedrock, в чат внутри панели Wazuh через OpenSearch Assistant. Для него необходимо включить модель в Bedrock, установить плагины OpenSearch и создать в ML Commons коннектор, модель и разговорного агента.
ИИ остаётся помощником, а не источником окончательных решений
Claude 3.5 Haiku может подсказывать действия по обнаруженной проблеме и настройки системы, однако рекомендации ИИ имеют консультативный характер. Wazuh прямо указывает, что перед применением их следует сверять с внутренними политиками и процедурами. На фоне уязвимостей Cisco, цепочек ClickFix и агентов ИИ автоматизация анализа помогает ускорить первичный разбор сигналов, но проверка выводов и решения с существенными последствиями остаются задачей специалистов SOC.
Для бизнеса выбор сводится к модели обработки данных и требованиям к эксплуатации: Wazuh Cloud предлагает отчёты по расписанию, локальная Llama 3 позволяет не выводить журналы за пределы сети, а облачный Claude добавляет диалоговые подсказки в интерфейс. В любом случае ИИ-инструменты следует внедрять как слой контекстной поддержки аналитиков с обязательной валидацией результатов.