Wazuh aduce AI în fluxurile SOC: rapoarte în cloud, LLM-uri locale și un asistent în dashboard

Wazuh, platforma open-source de SIEM și XDR, oferă acum trei moduri distincte de a pune un model lingvistic alături de analist: un serviciu automat AI Analyst pentru abonații Wazuh Cloud, o integrare complet self-hosted bazată pe Llama 3 și Ollama, și un asistent de chat în dashboard care rulează Claude 3.5 Haiku pe Amazon Bedrock. Obiectivul este același în toate cele trei cazuri: reducerea muncii repetitive de triaj și oferirea mai rapidă de context analiștilor, fără a scoate oamenii din bucla de decizie.

De ce echipele de operațiuni de securitate apelează la AI

Un SOC modern ingerează zilnic milioane de evenimente de la endpoint-uri, workload-uri cloud, echipamente de rețea, furnizori de identitate și aplicații de business. Uneltele SIEM și XDR oferă vizibilitate, dar analistul petrece în continuare o bună parte din tură corelând alerte, sărind între dashboard-uri, documentație, baze de date de vulnerabilități și fluxuri de threat intelligence și decizând următorul pas de investigație. Rezultatul este oboseala de alerte și o probabilitate mai mare ca un eveniment important să rămână îngropat. Infrastructurile hibride, întinse între on-premises și cloud, fac și mai dificilă o conștientizare situațională consecventă.

Atacatorii folosesc deja AI pentru a automatiza intruziunile și a accelera descoperirea vulnerabilităților. Apărătorii adoptă aceeași tehnologie pentru a rezuma constatări, a adăuga context și a sugera remedieri, exact zona în care Wazuh și-a poziționat noile capabilități.

Opțiunea 1: Wazuh AI Analyst pentru Wazuh Cloud

AI Analyst este un serviciu fără intervenție manuală pentru abonamentele Wazuh Cloud. Procesează datele de securitate ale abonamentului prin Amazon Bedrock și modelele Claude de la Anthropic, fără nicio configurare. Pe baza programului abonamentului, trimite pe e-mail un rezumat al indicatorilor-cheie: o histogramă a endpoint-urilor protejate, volumul de alerte, vulnerabilitățile active și o sinteză a posturii de securitate, cu un raport PDF complet atașat. Aceleași rapoarte sunt disponibile în consola Wazuh Cloud, în secțiunea AI Reports a fiecărui mediu.

În privința confidențialității, poziția declarată a vendorului este că datele abonamentului nu sunt partajate cu terți și nu sunt folosite pentru antrenarea modelelor. Procesarea este izolată, transmisia este criptată și nimic nu este stocat permanent. Ca în cazul oricărui rezultat generat de AI, recomandările au caracter consultativ și trebuie verificate față de propriile politici înainte ca cineva să acționeze pe baza lor.

Opțiunea 2: Llama 3 self-hosted cu Ollama

Pentru echipele care nu pot trimite telemetrie către un furnizor cloud, a doua cale păstrează totul în rețeaua locală. Ollama rulează modelul open-source Llama de la Meta direct pe serverul Wazuh. Un script Python decomprimă logurile arhivate pentru perioada aleasă, le vectorizează într-un store FAISS și expune un chatbot construit pe LangChain. Analistul poate întreba, în limbaj natural, dacă au existat tentative de brute-force pe SSH sau autentificări cu utilizatori invalizi pe vreun endpoint, iar asistentul extrage din arhive evenimentele corespunzătoare, cu timestamp-uri, adrese sursă și porturi. Pentru că nicio informație nu părăsește serverul, configurația se pretează organizațiilor cu obligații stricte de confidențialitate sau de rezidență a datelor.

Opțiunea 3: Claude 3.5 Haiku în dashboard

A treia opțiune aduce modelul Claude 3.5 Haiku de la Anthropic, găzduit pe Amazon Bedrock, ca fereastră de chat în dashboard-ul Wazuh, prin OpenSearch Assistant. Configurarea presupune activarea modelului în Bedrock, instalarea plugin-urilor OpenSearch necesare și crearea unui conector ML Commons, a unui model și a unui agent conversațional. Odată conectat, asistentul răspunde la întrebări practice de zi cu zi, de exemplu cum se configurează active response în Wazuh pentru a bloca o adresă IP după mai multe autentificări SSH eșuate, și ghidează analistul prin modificările de configurare necesare.

Ce este de făcut

AI în SOC devine o capabilitate practică, nu un slogan, dar răsplătește echipele care o implementează cu cap:

Alegeți modelul de implementare după sensibilitatea datelor. LLM-uri self-hosted pentru date reglementate sau cu cerințe de rezidență, modele în cloud acolo unde contează mai mult comoditatea și scala.
Păstrați responsabilitatea la oameni. Tratați fiecare recomandare AI ca pe un sfat. Blocarea, izolarea și alte acțiuni cu consecințe au nevoie în continuare de aprobarea unui analist.
Limitați ce vede modelul. Alimentați-l doar cu seturile de loguri de care are nevoie, restricționați cine poate interoga asistentul și înregistrați prompturile și răspunsurile pentru audit.
Măsurați câștigul. Urmăriți timpul până la triaj și gestionarea falselor pozitive înainte și după implementare, ca investiția să fie judecată pe bază de dovezi.
Validați separat perspectiva din exterior. Un asistent din interiorul SIEM-ului știe doar ce raportează agenții. Serviciile expuse, software-ul învechit și configurările greșite de pe host-urile accesibile din internet au nevoie în continuare de o confirmare independentă, exact ce oferă serviciul nostru de scanare de vulnerabilități: o verificare periodică din perspectiva atacatorului, care confirmă că vulnerabilitățile semnalate intern de rapoartele AI corespund cu ceea ce este realmente accesibil din internet.

Folosit astfel, AI scurtează investigațiile și ia de pe umerii analiștilor povara repetitivă, lăsându-le în continuare controlul asupra validării și al deciziilor care contează.