Wazuh leva IA aos fluxos de trabalho do SOC: relatórios na cloud, LLM locais e um assistente no painel
A Wazuh, plataforma open source de SIEM e XDR, passa a oferecer três formas distintas de colocar um modelo de linguagem ao lado do analista: um serviço automatizado AI Analyst para subscritores do Wazuh Cloud, uma integração totalmente self-hosted assente em Llama 3 e Ollama, e um assistente de chat no painel que corre Claude 3.5 Haiku sobre o Amazon Bedrock. O objetivo é o mesmo nas três opções: reduzir o trabalho repetitivo de triagem e dar contexto aos analistas mais depressa, sem retirar as pessoas do circuito de decisão.
Porque é que as equipas de operações de segurança recorrem à IA
Um SOC moderno ingere diariamente milhões de eventos provenientes de endpoints, cargas de trabalho na cloud, equipamentos de rede, fornecedores de identidade e aplicações de negócio. As ferramentas SIEM e XDR dão visibilidade, mas o analista continua a gastar boa parte do turno a correlacionar alertas, a saltar entre painéis, documentação, bases de dados de vulnerabilidades e feeds de threat intelligence, e a decidir o próximo passo da investigação. O resultado é fadiga de alertas e uma maior probabilidade de um evento importante ficar enterrado. Os ambientes híbridos, repartidos entre instalações próprias e cloud, tornam ainda mais difícil manter uma consciência situacional consistente.
Os atacantes já usam IA para automatizar intrusões e acelerar a descoberta de vulnerabilidades. Os defensores estão a adotar a mesma tecnologia para resumir conclusões, acrescentar contexto e sugerir remediações, e é precisamente aí que a Wazuh posicionou as novas capacidades.
Opção 1: o Wazuh AI Analyst para o Wazuh Cloud
O AI Analyst é um serviço sem intervenção manual para as subscrições do Wazuh Cloud. Processa os dados de segurança da subscrição através do Amazon Bedrock e dos modelos Claude da Anthropic, sem qualquer configuração. De acordo com o calendário da subscrição, envia por e-mail um resumo dos indicadores-chave: um histograma dos endpoints protegidos, o volume de alertas, as vulnerabilidades ativas e uma síntese da postura de segurança, com um relatório PDF completo em anexo. Os mesmos relatórios ficam disponíveis na consola do Wazuh Cloud, na secção AI Reports de cada ambiente.
Quanto à privacidade, a posição declarada do fornecedor é que os dados da subscrição não são partilhados com terceiros nem usados para treinar modelos. O processamento é isolado, a transmissão é cifrada e nada é guardado de forma permanente. Como em qualquer resultado gerado por IA, as recomendações são consultivas e devem ser confrontadas com as políticas da própria organização antes de alguém agir com base nelas.
Opção 2: Llama 3 self-hosted com Ollama
Para as equipas que não podem enviar telemetria para um fornecedor de cloud, a segunda via mantém tudo na rede local. O Ollama executa o modelo open source Llama da Meta diretamente no servidor Wazuh. Um script em Python descomprime os registos arquivados do período escolhido, vetoriza-os numa store FAISS e expõe um chatbot construído sobre LangChain. O analista pode perguntar, em linguagem natural, se houve tentativas de força bruta por SSH ou autenticações com utilizadores inválidos em algum endpoint, e o assistente extrai dos arquivos os eventos correspondentes, com carimbos temporais, endereços de origem e portas. Como nenhum dado sai do servidor, esta configuração adequa-se a organizações com obrigações rigorosas de privacidade ou de residência de dados.
Opção 3: Claude 3.5 Haiku dentro do painel
A terceira opção disponibiliza o Claude 3.5 Haiku da Anthropic, alojado no Amazon Bedrock, como caixa de chat dentro do painel Wazuh, através do OpenSearch Assistant. A configuração passa por ativar o modelo no Bedrock, instalar os plugins OpenSearch necessários e criar um conector ML Commons, um modelo e um agente conversacional. Uma vez ligado, o assistente responde a perguntas práticas do dia a dia, por exemplo como configurar a resposta ativa do Wazuh para bloquear um endereço IP após várias autenticações SSH falhadas, e orienta o analista nas alterações de configuração necessárias.
O que fazer com isto
A IA no SOC está a tornar-se uma capacidade prática e não um slogan, mas recompensa as equipas que a implementam com critério:
- Escolha o modelo de implementação pela sensibilidade dos dados. LLM self-hosted para dados regulados ou sujeitos a residência, modelos na cloud onde a conveniência e a escala pesem mais.
- Mantenha a responsabilidade nas pessoas. Trate cada recomendação da IA como consultiva. Bloquear, isolar e outras ações com consequências continuam a exigir a aprovação de um analista.
- Delimite o que o modelo pode ver. Alimente-o apenas com os conjuntos de registos de que precisa, restrinja quem pode consultar o assistente e registe pedidos e respostas para auditoria.
- Meça o ganho. Acompanhe o tempo até à triagem e o tratamento de falsos positivos antes e depois da implementação, para que o investimento seja avaliado com base em evidências.
- Valide separadamente a visão a partir do exterior. Um assistente dentro do SIEM só sabe o que os agentes reportam. Serviços expostos, software desatualizado e configurações erradas em hosts acessíveis a partir da internet continuam a precisar de confirmação independente, que é o que o nosso serviço de scanning de vulnerabilidades oferece: uma verificação periódica na perspetiva do atacante, que confirma que as vulnerabilidades sinalizadas internamente pelos relatórios de IA correspondem ao que está realmente alcançável a partir da internet.
Usada desta forma, a IA encurta as investigações e tira dos analistas a carga repetitiva, deixando-os no comando da validação e das decisões que importam.