Wazuh incorpora IA a los flujos de trabajo del SOC: informes en la nube, LLM locales y un asistente en el panel

Wazuh, la plataforma open source de SIEM y XDR, ofrece ahora tres formas distintas de poner un modelo de lenguaje junto al analista: un servicio automatizado AI Analyst para los suscriptores de Wazuh Cloud, una integración totalmente autoalojada basada en Llama 3 y Ollama, y un asistente de chat dentro del panel que ejecuta Claude 3.5 Haiku sobre Amazon Bedrock. El objetivo es el mismo en los tres casos: reducir el trabajo repetitivo de triaje y dar contexto a los analistas con mayor rapidez, sin sacar a las personas del circuito de decisión.

Por qué los equipos de operaciones de seguridad recurren a la IA

Un SOC moderno ingiere millones de eventos al día procedentes de endpoints, cargas de trabajo en la nube, dispositivos de red, proveedores de identidad y aplicaciones de negocio. Las herramientas SIEM y XDR aportan visibilidad, pero el analista sigue dedicando buena parte del turno a correlacionar alertas, saltar entre paneles, documentación, bases de datos de vulnerabilidades y fuentes de inteligencia de amenazas, y decidir el siguiente paso de la investigación. El resultado es fatiga por alertas y una mayor probabilidad de que un evento importante quede enterrado. Los entornos híbridos, repartidos entre instalaciones propias y la nube, dificultan aún más mantener una conciencia situacional coherente.

Los atacantes ya utilizan IA para automatizar intrusiones y acelerar el descubrimiento de vulnerabilidades. Los defensores están adoptando la misma tecnología para resumir hallazgos, añadir contexto y sugerir remediaciones, y es justo ahí donde Wazuh ha situado sus nuevas capacidades.

Opción 1: Wazuh AI Analyst para Wazuh Cloud

AI Analyst es un servicio sin intervención manual para las suscripciones de Wazuh Cloud. Procesa los datos de seguridad de la suscripción a través de Amazon Bedrock y los modelos Claude de Anthropic sin ninguna configuración. Siguiendo el calendario de la suscripción, envía por correo un resumen de indicadores clave: un histograma de endpoints protegidos, el volumen de alertas, las vulnerabilidades activas y una síntesis de la postura de seguridad, con un informe PDF completo adjunto. Los mismos informes están disponibles en la consola de Wazuh Cloud, en la sección AI Reports de cada entorno.

En cuanto a privacidad, la posición declarada del proveedor es que los datos de la suscripción no se comparten con terceros ni se utilizan para entrenar modelos. El procesamiento está aislado, la transmisión va cifrada y nada se almacena de forma permanente. Como con cualquier resultado generado por IA, las recomendaciones son orientativas y deben contrastarse con las políticas propias antes de que alguien actúe en consecuencia.

Opción 2: Llama 3 autoalojado con Ollama

Para los equipos que no pueden enviar telemetría a un proveedor en la nube, la segunda vía mantiene todo dentro de la red local. Ollama ejecuta el modelo open source Llama de Meta directamente en el servidor de Wazuh. Un script en Python descomprime los registros archivados del periodo elegido, los vectoriza en un almacén FAISS y expone un chatbot construido sobre LangChain. El analista puede preguntar, en lenguaje natural, si hubo intentos de fuerza bruta por SSH o inicios de sesión con usuarios no válidos en algún endpoint, y el asistente extrae de los archivos los eventos correspondientes, con marcas de tiempo, direcciones de origen y puertos. Como ningún dato sale del servidor, esta configuración encaja en organizaciones con obligaciones estrictas de privacidad o de residencia de datos.

Opción 3: Claude 3.5 Haiku dentro del panel

La tercera opción expone Claude 3.5 Haiku de Anthropic, alojado en Amazon Bedrock, como un cuadro de chat dentro del panel de Wazuh a través del OpenSearch Assistant. La configuración implica habilitar el modelo en Bedrock, instalar los plugins necesarios de OpenSearch y crear un conector ML Commons, un modelo y un agente conversacional. Una vez conectado, el asistente responde a preguntas prácticas del día a día, por ejemplo cómo configurar la respuesta activa de Wazuh para bloquear una dirección IP tras varios inicios de sesión SSH fallidos, y guía al analista por los cambios de configuración necesarios.

Qué hacer con esto

La IA en el SOC se está convirtiendo en una capacidad práctica y no en un eslogan, pero premia a los equipos que la despliegan con criterio:

• Elija el modelo de despliegue en función de la sensibilidad de los datos. LLM autoalojados para datos regulados o sujetos a residencia, modelos en la nube donde pesen más la comodidad y la escala.
• Mantenga la responsabilidad en las personas. Trate cada recomendación de la IA como orientativa. Bloquear, aislar y otras acciones con consecuencias siguen necesitando el visto bueno de un analista.
• Delimite lo que el modelo puede ver. Aliméntelo solo con los conjuntos de registros que necesita, restrinja quién puede consultar al asistente y registre las consultas y respuestas para auditoría.
• Mida la mejora. Haga seguimiento del tiempo hasta el triaje y de la gestión de falsos positivos antes y después del despliegue, para que la inversión se juzgue con datos.
• Valide por separado la visión desde fuera. Un asistente dentro del SIEM solo conoce lo que reportan los agentes. Los servicios expuestos, el software desactualizado y las configuraciones erróneas en hosts accesibles desde internet siguen necesitando una confirmación independiente, que es lo que aporta nuestro servicio de escaneo de vulnerabilidades: una comprobación periódica desde la perspectiva del atacante que confirma que las vulnerabilidades señaladas internamente por los informes de IA coinciden con lo que realmente es alcanzable desde internet.

Usada así, la IA acorta las investigaciones y descarga a los analistas del trabajo repetitivo, dejándolos al mando de la validación y de las decisiones que importan.