Два AI-ассистента для кибербезопасности: Wazuh и AWS под микроскопом LLM

from transformers import AutoModelForCausalLM, AutoTokenizer

model = AutoModelForCausalLM.from_pretrained("pyToshka/wazuh-llama-3.1-8b-assistant")
tokenizer = AutoTokenizer.from_pretrained("pyToshka/wazuh-llama-3.1-8b-assistant")

prompt = """Проанализируй этот алерт Wazuh:

Множественные неудачные попытки SSH входа с IP 45.142.120.10
Rule Level: 10
Event: sshd authentication failure

Дай:
1. Уровень угрозы
2. Тип атаки
3. Рекомендуемые действия
"""

inputs = tokenizer(prompt, return_tensors="pt")
outputs = model.generate(**inputs, max_new_tokens=512)
response = tokenizer.decode(outputs[0], skip_special_tokens=True)
print(response)

# Установка
ollama pull OpenNix/wazuh-llama-3.1-8B-v1

# Интерактивный режим
ollama run OpenNix/wazuh-llama-3.1-8B-v1

# Через API
curl http://localhost:11434/api/generate -d '{
  "model": "OpenNix/wazuh-llama-3.1-8B-v1",
  "prompt": "Проанализируй этот алерт Wazuh: Множественные неудачные попытки SSH входа с IP 45.142.120.10",
  "stream": false
}'

Ответ:
1. Уровень угрозы: высокий
2. Тип атаки: атака на пароль
3. Рекомендуемые действия: «Проверьте учетные данные пользователя и пароль», «Установите двухфакторную аутентификацию», «Обновите систему до последней версии», «Проверьте наличествие обновлений безопасности» и т. д.
4. Дополнительная информация: «IP-адрес 45.142.120.10» — это IP-адрес, из которого происходили неудачные попытки входа. «sshd authentication failure» — это описание правила, которое означает, что атака происходит на SSH-сервере.

Анализ:
Этот алерт является признаком атаки на пароль, поскольку правило имеет уровень угрозы 10, что указывает на высокий уровень опасности. Следовательно, рекомендованными действиями являются проверка учетных данных пользователя и пароля, установка двухфакторной аутентификации и обновление системы до последней версии. Дополнительная информация о том, что IP-адрес 45.142.120.10 — это IP-адрес, из которого происходили неудачные попытки входа, позволяет предположить, что атака была проведена из этого IP-адреса.

Навыки рассуждения:
Чтобы ответить на этот алерт, необходимо применить навыки анализа и рассуждения. В частности, необходимо:

* Определить тип атаки и ее цель.
* Оценить уровень угрозы и принять соответствующие меры по защите.
* Проверить учетные данные пользователя и пароль.
* Установить двухфакторную аутентификацию.
* Обновить систему до последней версии.
* Проверить наличествие обновлений безопасности.

Таким образом, этот алерт требует применения навыков анализа и рассуждения для определения типа атаки, оценки уровня угрозы и принятия мер по защите. Рекомендуемые действия предполагают проверку учетных данных пользователя и пароля, установку двухфакторной а

from transformers import AutoModelForCausalLM, AutoTokenizer

model = AutoModelForCausalLM.from_pretrained("pyToshka/aws-security-analyst")
tokenizer = AutoTokenizer.from_pretrained("pyToshka/aws-security-analyst")

prompt = """Проанализируй это AWS security event:

Event Source: GuardDuty
Finding Type: UnauthorizedAccess:EC2/SSHBruteForce
Severity: 8.0
Resource: EC2 instance i-1234567890abcdef0
Source IP: 45.142.120.10

Дай:
1. Threat assessment
2. MITRE ATT&CK techniques
3. Compliance impact
4. Рекомендуемые действия
"""

inputs = tokenizer(prompt, return_tensors="pt")
outputs = model.generate(**inputs, max_new_tokens=512)
print(tokenizer.decode(outputs[0], skip_special_tokens=True))

# Установка
ollama pull OpenNix/aws-security-assistant

# Анализ CloudTrail event
ollama run OpenNix/aws-security-assistant \
  "Analyze: Root user attached AdministratorAccess policy at 3 AM"

# Через API
curl http://localhost:11434/api/generate -d '{
  "model": "OpenNix/aws-security-assistant",
  "prompt": "Analyze GuardDuty finding: Cryptocurrency mining detected on EC2",
  "stream": false
}'

# Для Wazuh
from transformers import AutoModelForCausalLM, AutoTokenizer

wazuh_model = AutoModelForCausalLM.from_pretrained("pyToshka/wazuh-llama-3.1-8b-assistant")
wazuh_tokenizer = AutoTokenizer.from_pretrained("pyToshka/wazuh-llama-3.1-8b-assistant")

# Для AWS
aws_model = AutoModelForCausalLM.from_pretrained("pyToshka/aws-security-analyst")
aws_tokenizer = AutoTokenizer.from_pretrained("pyToshka/aws-security-analyst")

# Установка Ollama
curl -fsSL https://ollama.com/install.sh | sh

# Wazuh Assistant
ollama pull OpenNix/wazuh-llama-3.1-8B-v1
ollama run OpenNix/wazuh-llama-3.1-8B-v1

# AWS Security Analyst
ollama pull OpenNix/aws-security-assistant
ollama run OpenNix/aws-security-assistant

# docker-compose.yml
services:
  ollama:
    image: ollama/ollama:latest
    ports:
      - "11434:11434"
    volumes:
      - ./ollama:/root/.ollama
    restart: always
    environment:
      - OLLAMA_KEEP_ALIVE=24h
      - OLLAMA_HOST=0.0.0.0

docker-compose up -d

# Pull models
docker exec -it ollama bash
ollama pull OpenNix/wazuh-llama-3.1-8B-v1
ollama pull OpenNix/aws-security-assistant

#!/var/ossec/framework/python/bin/python3
from ollama import Client

def analyze_wazuh_alert(alert):
    client = Client(host='http://localhost:11434')
    
    response = client.chat(
        model='OpenNix/wazuh-llama-3.1-8B-v1',
        messages=[{
            'role': 'user',
            'content': f'Analyze this Wazuh alert: {alert}'
        }]
    )
    
    return response['message']['content']

if __name__ == "__main__":
    alert = sys.argv[1]
    analysis = analyze_wazuh_alert(alert)
    send_to_wazuh(analysis) 

Multiple failed SSH login attempts from 103.85.24.45
Rule: 5710 | Level: 10 | sshd: authentication failure

Threat Level: 12/15 - High Severity
Attack Type: SSH Brute-force (MITRE T1110.001)
Risk: Active credential compromise attempt
Actions:
1. Block IP immediately via firewall/fail2ban
2. Check for successful logins from same /24 subnet
3. Enable 2FA if not configured
4. Review SSH key-based auth configuration

CloudTrail Event: AttachUserPolicy
User: dev-user
Policy: AdministratorAccess
Time: 02:47 AM UTC
Source IP: 185.220.101.45 (Tor exit node)

Threat Assessment: CRITICAL
MITRE ATT&CK: T1098.001 - Account Manipulation: Additional Cloud Credentials
Compliance Impact:
- CIS AWS Foundations: 1.16 (IAM policies)
- PCI-DSS: 7.1, 7.2 (Access control)

Attack Scenario: Privilege Escalation via Policy Attachment
1. Compromised dev-user account (low privileges)
2. Attached AdministratorAccess (privilege escalation)
3. Source IP is Tor node (attacker hiding identity)

Immediate Actions:
1. REVOKE AdministratorAccess from dev-user NOW
2. Rotate dev-user credentials immediately
3. Review CloudTrail for other actions from this IP
4. Check for data exfiltration (S3 GetObject, etc.)
5. Enable MFA delete on critical S3 buckets
6. Implement SCPs to prevent policy attachment by non-admin users