Wazuh Cloud получил встроенного ИИ-аналитика, который по расписанию собирает отчёты об алертах, уязвимостях, защищённых конечных точках и общем состоянии безопасности. Для команд, которым нужен ИИ для SOC, это попытка убрать из расследований самую утомительную часть: сводить воедино события из десятка источников и искать очевидный следующий шаг.
Новая возможность работает в облачной подписке Wazuh без ручной настройки, сообщает The Hacker News. Сервис обрабатывает данные безопасности через Amazon Bedrock и модель Claude компании Anthropic, а затем отправляет на зарегистрированный адрес электронную почту с отчётом и PDF-вложением. Те же материалы доступны в консоли Wazuh Cloud, в разделе AI Reports.
В отчёты входят ключевые показатели среды, гистограмма защищённых устройств, объём срабатываний, список активных уязвимостей и краткая оценка защитной позиции. Это не замена SIEM, XDR или аналитика дежурной смены. Скорее, дополнительный слой, который превращает поток событий в читаемую сводку: где выросло число алертов, какие активы выпали из покрытия, какие уязвимости не стоит откладывать до следующего квартального совещания.
Проблема здесь вполне приземлённая. SOC получает телеметрию от рабочих станций, серверов, облачных нагрузок, сетевого оборудования, провайдеров идентификации и прикладных систем. Даже если инструменты корреляции уже куплены и настроены, специалисту приходится переключаться между дашбордами, базами уязвимостей, документацией и лентами threat intelligence. На этом маршруте легко потерять контекст, а большой объём ложных или второстепенных срабатываний постепенно вырабатывает профессиональную глухоту.
Wazuh подчёркивает, что рекомендации модели носят консультативный характер. Их нужно сверять с внутренними политиками и проверять до принятия решений. Это важная оговорка: генеративная модель может аккуратно пересказать набор сигналов, но не знает бизнес-критичность конкретного сервиса, согласованный порядок отключения учётных записей или последствия остановки производственного узла. Делегировать ей подготовку контекста разумно; делегировать ей ответственность за инцидент — уже заметно рискованнее.
Для компаний, развёртывающих Wazuh самостоятельно, в материале описаны два других сценария. Первый рассчитан на среды с жёсткими требованиями к конфиденциальности и локализации данных. На сервере Wazuh можно запустить Ollama с открытой моделью Meta Llama 3: Python-скрипт распаковывает логи за выбранный период, превращает их в векторное хранилище FAISS, после чего чат-бот на базе LangChain отвечает на вопросы по этим данным. В таком варианте журналы не уходят в облачного провайдера, но команда берёт на себя эксплуатацию модели, инфраструктуры и контроль качества ответов.
Второй вариант использует Claude 3.5 Haiku, доступный через Amazon Bedrock. Его можно вывести в интерфейс Wazuh через OpenSearch Assistant: для этого требуется включить модель в Bedrock, установить плагины OpenSearch и создать в ML Commons коннектор, модель и разговорного агента. Ассистент способен подсказать, как разобрать найденную проблему или настроить отдельные параметры. Но вместе с удобством появляется обычный набор вопросов для службы ИБ: какие фрагменты телеметрии покидают периметр, как устроены права доступа, где хранятся данные и какие требования регуляторов применимы к конкретной организации.
Для российских команд ценность ИИ для SOC будет зависеть не от эффектного чата в панели мониторинга, а от способности встроить его в существующий процесс. Облачный отчёт пригодится небольшому SOC, которому нужна регулярная картина без отдельного аналитика для подготовки сводок. Локальная LLM интереснее банкам, промышленности и организациям с ограничениями на передачу журналов за пределы собственного контура. В обоих случаях стоит заранее измерить эффект: сколько времени уходит на первичный разбор, сколько алертов закрывается без эскалации и сколько рекомендаций модели аналитики действительно используют.
Рынок постепенно отходит от обещания «автономного SOC» к более полезной модели: ИИ сокращает рутину, а человек подтверждает выводы и принимает последствия. У Wazuh есть сразу облачный и локальный пути для такого внедрения. Главный вопрос теперь не в том, появится ли ИИ для SOC в панели безопасности, а в том, сумеет ли команда настроить данные, права и контроль так, чтобы помощник ускорял расследование, а не добавлял ещё один источник уверенно сформулированных ошибок.
