RAG

Какие части ответа теряются при смене хранилища

Аналитик первой линии спрашивает в середине инцидента одно: что предписывает наш runbook при переборе SSH против web-server-01. Полезный ответ обязан назвать шаг сдерживания, его параметр и источник, из которого это взято. Раздел Containment в плейбуке длиннее любого отрывка, который возвращает слой поиска, поэтому настоящий вопрос не в том, найдется ли плейбук среди первых пяти результатов, а в том, доедет ли до модели именно та его часть, которая отвечает.

Введение

Агент из первой части умеет только запрашивать алерты. В первой попытке я дал ему один инструмент поиска по индексу soc-knowledge, и ответил он почти правильно: на вопрос, что предписывает плейбук при SSH-переборе против web-server-01, нашел в индексе нужный документ, назвал правила и владельца и пропустил блокировку на 12 часов. Из пяти найденных фрагментов к плейбуку относился только один, и о блокировке в нем не было ни слова.

Применение RAG для работы с документацией Wazuh: Пошаговое руководство (Часть 2)

Подготовка к разработке кода

В первой части мы подготовили документацию Wazuh в формате PDF. Теперь приступим к разработке RAG-системы, которая позволит задавать вопросы по документации и получать точные ответы на основе реального содержимого.

Применение RAG для работы с документацией Wazuh: Пошаговое руководство (Часть 1)

Введение в RAG и его роль

Retrieval-Augmented Generation (RAG) – это метод, который позволяет использовать информацию из различных источников для создания более точных и полезных ответов на вопросы. В отличие от стандартного использования языковых моделей, где модель опирается исключительно на знания, полученные в процессе обучения, RAG дополняет генерацию ответов актуальными данными из внешних источников.