Одна и та же последовательность на двух стендах. Останавливаю indexer, продолжаю слать события, перезапускаю менеджер до того, как indexer вернется, поднимаю indexer обратно и считаю, сколько дошло. События на обеих сторонах идут одним путем - через своего агента, а не подкладываются менеджеру в файл, - и каждое несет собственный идентификатор. Число записанных строк подтверждается перечитыванием файла агента, а не берется из счетчика цикла; уникальные считаются точно по возвращенным идентификаторам, а не оценкой. Во всех двенадцати фазах подтвержденная запись равна 100, а дубликатов нет ни в одной.
[Далее]Wazuh + AWS Bedrock: RAG с Titan Embeddings (Часть 3)
Введение
Агент из первой части умеет только запрашивать алерты. В первой попытке я дал ему один инструмент поиска по индексу soc-knowledge, и ответил он почти правильно: на вопрос, что предписывает плейбук при SSH-переборе против web-server-01, нашел в индексе нужный документ, назвал правила и владельца и пропустил блокировку на 12 часов. Из пяти найденных фрагментов к плейбуку относился только один, и о блокировке в нем не было ни слова.
Статический анализ правил Wazuh: эволюция линтера
Серия “Статический анализ Wazuh”:
- Часть 1: Декодеры - валидация XML-декодеров
- Часть 2: Правила (вы здесь) - валидация правил и кросс-типовая проверка
В первой части мы создали линтер для XML-декодеров Wazuh - инструмент, который проверяет структуру, согласованность regex/order и цепочки родительских декодеров. Но декодеры - только половина конвейера обработки событий. Декодеры извлекают поля из сырых логов, а правила решают, что с этими полями делать: генерировать алерт, повысить уровень угрозы или запустить автоматический ответ. Ошибка в правиле - пропущенный алерт или ложное срабатывание - может быть опаснее ошибки в декодере.
[Далее]Wazuh + AWS Bedrock: ИИ-аналитика в Docker (Часть 1)
Введение
В предыдущей статье мы встроили локальную модель Ollama прямо в чат Wazuh Dashboard через ML Commons. Этот подход обеспечивает полный контроль над данными без облачных зависимостей. В этой серии мы пойдём параллельным путём: будем использовать AWS Bedrock - конкретно Claude Sonnet 4.5 - как бэкенд для инференса, при этом все данные безопасности остаются строго внутри локальной Docker-сети.
[Далее]Инструмент статического анализа XML-декодеров Wazuh
Серия “Статический анализ Wazuh”:
- Часть 1: Декодеры (вы здесь) - валидация XML-декодеров
- Часть 2: Правила - валидация правил и кросс-типовая проверка
XML-файлы декодеров Wazuh определяют, как необработанные строки логов преобразуются в структурированные события безопасности. Ошибка в конфигурации декодера - отсутствующий элемент <order>, ссылка на несуществующий родительский декодер или несоответствие количества групп захвата в regex - может привести к тому, что критически важные поля будут молча отброшены из алертов, создавая слепые зоны в вашем SIEM-конвейере. Ручная проверка кода выявляет некоторые из этих проблем, но не масштабируется на сотни файлов декодеров, поставляемых с Wazuh или поддерживаемых вашей организацией.
Ollama в дашборде Wazuh: AI-анализ безопасности
Введение
Интеграция локальных языковых моделей непосредственно в интерфейс Wazuh открывает принципиально новые возможности для команд информационной безопасности. В отличие от облачных AI-решений, Ollama позволяет выполнять анализ событий безопасности полностью в изолированной инфраструктуре организации, исключая передачу конфиденциальных данных за периметр сети. Встраивание AI-ассистента в дашборд Wazuh обеспечивает аналитикам SOC мгновенный доступ к интеллектуальной интерпретации алертов, автоматическую корреляцию инцидентов и генерацию рекомендаций по реагированию непосредственно в контексте рабочего процесса. Такой подход существенно сокращает время на первичный анализ угроз и снижает когнитивную нагрузку на специалистов, позволяя им сосредоточиться на принятии стратегических решений вместо рутинной обработки событий. При этом полный контроль над моделью и данными остается внутри организации, что критически важно для соответствия требованиям регуляторов и внутренним политикам безопасности.
[Далее]AI-ассистенты для Wazuh и AWS: анализ безопасности
Когда SOC-аналитик не справляется (или просто устал)
Давайте честно: анализировать тысячи событий безопасности каждый день - это не самое увлекательное занятие.
[Далее]Wazuh LLM: Llama 3.1 для анализа событий безопасности
Введение в Wazuh LLM: Зачем нужна специализация в анализе безопасности
В мире кибербезопасности специалисты SOC ежедневно сталкиваются с огромным потоком событий безопасности. Анализ каждого алерта требует глубоких знаний, опыта и времени. Именно поэтому я создал специализированную языковую модель, которая может помочь аналитикам безопасности в их повседневной работе.
[Далее]RAG для документации Wazuh: Руководство, Часть 2
Применение RAG для работы с документацией Wazuh: Пошаговое руководство (Часть 2)
Подготовка к разработке кода
В первой части мы подготовили документацию Wazuh в формате PDF. Теперь приступим к разработке RAG-системы, которая позволит задавать вопросы по документации и получать точные ответы на основе реального содержимого.
[Далее]RAG для документации Wazuh: Руководство, Часть 1
Применение RAG для работы с документацией Wazuh: Пошаговое руководство (Часть 1)
Введение в RAG и его роль
Retrieval-Augmented Generation (RAG) – это метод, который позволяет использовать информацию из различных источников для создания более точных и полезных ответов на вопросы. В отличие от стандартного использования языковых моделей, где модель опирается исключительно на знания, полученные в процессе обучения, RAG дополняет генерацию ответов актуальными данными из внешних источников.
[Далее]