Интеграция LLM-ассистента с Wazuh: упрощение работы аналитиков SOC

Системы обнаружения вторжений (SIEM), такие как Wazuh, эффективно собирают события безопасности, однако извлечение из них конкретных ответов требует от аналитика владения сложным языком запросов и знания сотен полей индекса. Хотя опытные инженеры SOC справляются с этой задачей быстро, для коллег без профильного опыта это становится серьезным препятствием. В Selectel разработали решение, которое устраняет этот барьер: подключение LLM-ассистента к интерфейсу Wazuh через OpenSearch Assistant. Данная интеграция позволяет задавать вопросы своими словами и получать структурированные ответы, включая готовые запросы PPL (Piped Processing Language) и объяснения алертов.

Архитектура решения опирается на штатные плагины OpenSearch, входящие в состав дашборда Wazuh. Ассистент не входит в базовую поставку, но устанавливается без модификации ядра системы. Процесс настройки занимает около двух часов и включает установку пяти плагинов (два для индексатора и три для дашборда), регистрацию модели с OpenAI-совместимым API и создание агентов. Ключевым элементом является плагин ml-commons, который управляет взаимодействием с моделью и предоставляет инструмент PPLTool. Этот инструмент позволяет модели самостоятельно формировать и выполнять запросы к базе данных событий Wazuh.

Важным аспектом является безопасность и контроль над процессом. Индексатор обращается к внешней модели по HTTPS через коннектор, где строго заданы параметры запроса и правила разбора ответа. В настройках кластера необходимо явно разрешить работу агентов и указать доверенные адреса моделей через регулярные выражения. Это предотвращает несанкционированные обращения и обеспечивает изоляцию данных. Для корректной работы требуется совпадение версий плагинов с версией OpenSearch, используемой в Wazuh (например, 2.19.5 для Wazuh 4.14.7).

Поведение ассистента определяется системными промптами, которые задают строгие правила взаимодействия. Модель обязана отвечать на русском языке, предоставлять краткие выводы и всегда включать в ответ точный выполненный запрос PPL в блоке кода. Это позволяет аналитику верифицировать каждое полученное число. Если вопрос составной, агент вызывает инструмент для каждой части отдельно. При этом модель не выдумывает данные: если результат пуст или поле отсутствует, она честно сообщает об этом, избегая галлюцинаций.

Для реализации функции «Explain Document» требуется отдельная сборка плагина, что занимает 30–60 минут. Этот инструмент позволяет модели детально разбирать конкретный алерт или запись об уязвимости, объясняя суть инцидента и его критичность. Вся инфраструктура может работать в Docker-контейнерах, при этом плагины монтируются в соответствующие каталоги сервисов wazuh-indexer и wazuh-dashboard. После перезапуска сервисов в интерфейсе появляются новые элементы: окно чата, строка Query Assist в разделе Discover и кнопка объяснения документов.

Данный подход демонстрирует, как современные LLM-технологии могут быть интегрированы в корпоративные системы безопасности без потери контроля над данными. Вместо замены традиционных инструментов, ассистент выступает как интеллектуальный посредник, переводящий человеческий язык на машинный и обратно. Это особенно ценно для команд, где не все специалисты являются экспертами в SIEM, но должны оперативно реагировать на инциденты. Источник: web:Habr AI — https://habr.com/ru/companies/selectel/articles/1086770/