Wazuh và AI: Nâng cao hiệu quả quy trình làm việc của SOC

Trí tuệ nhân tạo (AI) đang trở thành một trong những công nghệ định hình thập kỷ này. Từ y tế, tài chính đến sản xuất và giáo dục, các tổ chức ngày càng dựa vào AI để tự động hóa các tác vụ lặp đi lặp lại, khám phá các mẫu ẩn trong tập dữ liệu lớn và hỗ trợ ra quyết định nhanh hơn. An ninh mạng cũng trải qua một sự chuyển đổi tương tự. Trong khi những kẻ tấn công sử dụng AI để tự động hóa các cuộc tấn công mạng và tăng tốc phát hiện vulnerability, thì các nhà phòng thủ cũng đang áp dụng AI để cải thiện khả năng phát hiện mối đe dọa và tăng cường phản ứng sự cố.

Các Trung tâm Điều hành An ninh (SOC) nhận được một lượng lớn cảnh báo từ các endpoint, cloud workloads, thiết bị mạng, nhà cung cấp danh tính và ứng dụng kinh doanh. Mặc dù các nền tảng SIEM và XDR cung cấp khả năng hiển thị vào các môi trường này, các nhà phân tích thường mất nhiều thời gian để tương quan các cảnh báo, tìm kiếm tài liệu và xác định các bước điều tra tiếp theo. AI cung cấp một cách thực tế để hỗ trợ các nhà phân tích bằng cách cung cấp giải thích theo ngữ cảnh, tóm tắt các phát hiện và đề xuất hành động khắc phục, thay vì thay thế chuyên môn của con người.

Những thách thức mà SOC hiện đại phải đối mặt

Các SOC hiện đại được kỳ vọng sẽ phát hiện và phản ứng với các mối đe dọa tinh vi trong khi xử lý hàng triệu sự kiện bảo mật mỗi ngày. Khối lượng cảnh báo cao góp phần gây ra sự mệt mỏi cho nhà phân tích và tăng khả năng các sự kiện quan trọng bị bỏ qua. Các cuộc điều tra thường yêu cầu chuyển đổi giữa các dashboard, tài liệu, cơ sở dữ liệu vulnerability và các nguồn cấp dữ liệu threat intelligence trước khi có được một bức tranh hoàn chỉnh. Khi cơ sở hạ tầng ngày càng phân tán trên các môi trường on-premises và cloud, việc duy trì nhận thức tình huống nhất quán trở nên khó khăn hơn. Các quy trình làm việc được hỗ trợ bởi AI giúp giải quyết những thách thức này bằng cách giảm phân tích lặp đi lặp lại, thêm ngữ cảnh và tăng tốc ra quyết định điều tra.

Wazuh và trí tuệ nhân tạo để nâng cao quy trình làm việc của SOC

Wazuh thúc đẩy việc áp dụng AI linh hoạt thông qua Wazuh AI Analyst có sẵn trên Wazuh Cloud và các tích hợp với các nhà cung cấp AI bên thứ ba. Các tổ chức có thể tận dụng khả năng Wazuh AI Analyst trên Wazuh Cloud để được hướng dẫn về tình hình bảo mật của môi trường của họ. Các tổ chức tự triển khai Wazuh cũng có thể tận dụng các tích hợp của Wazuh với các nhà cung cấp AI. Các phần sau đây nêu bật thêm chi tiết:

Wazuh AI Analyst

Wazuh AI Analyst hoạt động tự động và không cần can thiệp thủ công. Đây là một dịch vụ phân tích bảo mật được hỗ trợ bởi AI dành cho các gói đăng ký Wazuh Cloud, xử lý dữ liệu bảo mật của bạn thông qua Amazon Bedrock và Anthropic’s Claude, cung cấp thông tin chi tiết mà không cần cấu hình thủ công. Nó định kỳ gửi email các chỉ số chính, biểu đồ các endpoint được bảo vệ, khối lượng cảnh báo, các vulnerability đang hoạt động và tóm tắt tình hình bảo mật kèm theo báo cáo PDF đầy đủ.

Các báo cáo được tạo theo lịch trình đăng ký Wazuh Cloud của bạn và được gửi định kỳ đến địa chỉ email đã đăng ký của bạn. Bạn cũng có thể xem chúng từ bảng điều khiển Wazuh Cloud trong trang Environments > AI Reports.

Về quyền riêng tư, dữ liệu đăng ký không được chia sẻ với bên thứ ba và không được sử dụng để đào tạo các mô hình AI; nó chỉ được xử lý để tạo báo cáo của bạn, với truyền tải được mã hóa, xử lý cô lập và không lưu trữ vĩnh viễn. Giống như bất kỳ đầu ra AI nào, các khuyến nghị chỉ mang tính chất tư vấn và nên được xác thực theo chính sách của riêng bạn trước khi thực hiện.

Threat hunting và hoạt động bảo mật với các tích hợp AI bên ngoài

Ngoài Wazuh AI Analyst, bạn có thể mở rộng khả năng của Wazuh bằng cách sử dụng một LLM tự host và các tích hợp AI được quản lý bên ngoài phù hợp với nhu cầu của bạn.

Llama 3 và Ollama tự host

Tích hợp này giữ mọi thứ trong mạng của riêng bạn. Ollama chạy LLM Llama mã nguồn mở của Meta cục bộ trên server Wazuh; một script Python giải nén các log đã lưu trữ trong một khoảng thời gian đã chọn, chuyển chúng thành vector vào một kho FAISS và phục vụ một chatbot được hỗ trợ bởi LangChain mà bạn có thể truy vấn. Không có gì được gửi đến nhà cung cấp cloud, điều này rất phù hợp với các nhóm có yêu cầu nghiêm ngặt về quyền riêng tư hoặc lưu trú dữ liệu.

Các bước thiết lập đầy đủ có trong bài đăng trên blog của Wazuh: Leveraging artificial intelligence for threat hunting in Wazuh.

Tích hợp được quản lý bên ngoài với Claude 3.5 Haiku

Tích hợp này đưa Claude 3.5 Haiku của Anthropic, được host trên Amazon Bedrock, dưới dạng một hộp trò chuyện bên trong dashboard thông qua OpenSearch Assistant. Thiết lập bao gồm việc bật mô hình trong Bedrock, cài đặt các plugin OpenSearch có liên quan và tạo một connector, mô hình và conversational agent của ML Commons. Trợ lý có thể cung cấp hướng dẫn hữu ích về nhiều tác vụ phổ biến, bao gồm phải làm gì với một phát hiện và cách cấu hình một số cài đặt nhất định.

Các bước thiết lập đầy đủ có trong bài đăng trên blog của Wazuh: Leveraging Claude Haiku in the Wazuh dashboard for LLM-powered insights.

Kết luận

Trí tuệ nhân tạo đang trở thành một khả năng quan trọng trong các SOC hiện đại. Thay vì thay thế các nhà phân tích, nó có thể giảm công việc lặp đi lặp lại, tăng tốc điều tra và cung cấp hỗ trợ theo ngữ cảnh cho các hoạt động phát hiện, phân loại và phản ứng. Những khả năng này có thể giúp các nhóm bảo mật hoạt động hiệu quả hơn trong khi vẫn giữ trách nhiệm xác thực và đưa ra các quyết định quan trọng cho các nhà phân tích.

Đối với người dùng Wazuh Cloud, Wazuh AI Analyst cung cấp các báo cáo bảo mật tự động, theo lịch trình bao gồm các chỉ số chính, hoạt động cảnh báo, phạm vi endpoint, các vulnerability đang hoạt động và tình hình bảo mật tổng thể. Các tổ chức có thể điều chỉnh thêm các hoạt động bảo mật được hỗ trợ bởi AI thông qua các tích hợp LLM tự host để săn lùng mối đe dọa nhạy cảm về quyền riêng tư hoặc các mô hình được quản lý bên ngoài, được host trên cloud, điều chỉnh việc áp dụng theo các yêu cầu về hoạt động, quyền riêng tư và lưu trú dữ liệu của họ.

Nguồn tham khảo: The Hacker News