Агент из первой части умеет только запрашивать алерты. В первой попытке я дал ему один инструмент поиска по индексу soc-knowledge, и ответил он почти правильно: на вопрос, что предписывает плейбук при SSH-переборе против web-server-01, нашел в индексе нужный документ, назвал правила и владельца и пропустил блокировку на 12 часов. Из пяти найденных фрагментов к плейбуку относился только один, и о блокировке в нем не было ни слова.
В Части 1 мы подключили AWS Bedrock Claude к чату Wazuh Dashboard через ML Commons. Этот путь отлично подходит для аналитиков, работающих внутри Wazuh UI. В этой части мы открываем второй канал: Model Context Protocol (MCP), который позволяет любому совместимому клиенту - Claude Desktop, пользовательским приложениям, CI-пайплайнам - обращаться к данным Wazuh Indexer через стандартизированный интерфейс инструментов.
[Далее]В предыдущей статье мы встроили локальную модель Ollama прямо в чат Wazuh Dashboard через ML Commons. Этот подход обеспечивает полный контроль над данными без облачных зависимостей. В этой серии мы пойдём параллельным путём: будем использовать AWS Bedrock - конкретно Claude Sonnet 4.5 - как бэкенд для инференса, при этом все данные безопасности остаются строго внутри локальной Docker-сети.
[Далее]Интеграция локальных языковых моделей непосредственно в интерфейс Wazuh открывает принципиально новые возможности для команд информационной безопасности. В отличие от облачных AI-решений, Ollama позволяет выполнять анализ событий безопасности полностью в изолированной инфраструктуре организации, исключая передачу конфиденциальных данных за периметр сети. Встраивание AI-ассистента в дашборд Wazuh обеспечивает аналитикам SOC мгновенный доступ к интеллектуальной интерпретации алертов, автоматическую корреляцию инцидентов и генерацию рекомендаций по реагированию непосредственно в контексте рабочего процесса. Такой подход существенно сокращает время на первичный анализ угроз и снижает когнитивную нагрузку на специалистов, позволяя им сосредоточиться на принятии стратегических решений вместо рутинной обработки событий. При этом полный контроль над моделью и данными остается внутри организации, что критически важно для соответствия требованиям регуляторов и внутренним политикам безопасности.
[Далее]Давайте честно: анализировать тысячи событий безопасности каждый день - это не самое увлекательное занятие.
[Далее]В мире кибербезопасности специалисты SOC ежедневно сталкиваются с огромным потоком событий безопасности. Анализ каждого алерта требует глубоких знаний, опыта и времени. Именно поэтому я создал специализированную языковую модель, которая может помочь аналитикам безопасности в их повседневной работе.
[Далее]В первой части мы подготовили документацию Wazuh в формате PDF. Теперь приступим к разработке RAG-системы, которая позволит задавать вопросы по документации и получать точные ответы на основе реального содержимого.
[Далее]Retrieval-Augmented Generation (RAG) – это метод, который позволяет использовать информацию из различных источников для создания более точных и полезных ответов на вопросы. В отличие от стандартного использования языковых моделей, где модель опирается исключительно на знания, полученные в процессе обучения, RAG дополняет генерацию ответов актуальными данными из внешних источников.
[Далее]В прошлой части мы рассмотрели основные принципы создания интеграций. Теперь настало время объединить все элементы и завершить интеграцию Wazuh с Ollama.
[Далее]Wazuh предоставляет огромные и почти бесконечные возможноности по интеграции с различными система, даже если какого-то функционала не хватает вы всегда можете написать свой.
[Далее]