Wazuh bổ sung AI cho quy trình SOC
"The article describes how Wazuh is integrating AI into SOC workflows through the Wazuh AI Analyst on Wazuh Cloud and through third-party AI integrations for self-hosted deployments. It highlights AI-assisted security reporting, threat hunting, and incident guidance using Amazon Bedrock with Anthropic Claude, as well as a local Llama 3/Ollama option; no CVE is mentioned and the main impact is reduced analyst workload and faster investigations."
Tăng khả năng phân tích cảnh báo, threat hunting và rút ngắn thời gian điều tra; tuy nhiên, kết quả AI vẫn cần xác minh thủ công trước khi hành động.
Có thể giảm khối lượng công việc lặp lại cho SOC và cải thiện tốc độ xử lý sự cố; mức độ phù hợp phụ thuộc vào mô hình triển khai và yêu cầu bảo mật dữ liệu.
Wazuh đang tích hợp AI vào quy trình vận hành SOC theo hai hướng: Wazuh AI Analyst trên Wazuh Cloud và các tích hợp LLM cho triển khai tự quản lý. Mục tiêu là hỗ trợ phân tích cảnh báo, threat hunting, tạo báo cáo và gợi ý bước xử lý ban đầu, thay vì thay thế vai trò của nhà phân tích.
Với Wazuh AI Analyst, dữ liệu bảo mật được xử lý qua Amazon Bedrock và Anthropic Claude để tạo báo cáo định kỳ, gồm chỉ số chính, số lượng endpoint được bảo vệ, khối lượng cảnh báo, lỗ hổng đang mở và tóm tắt tư thế bảo mật. Báo cáo được gửi qua email và cũng có thể xem trong giao diện Wazuh Cloud. Theo mô tả, dữ liệu thuê bao không được dùng để huấn luyện mô hình và được truyền qua kênh mã hóa.
Với môi trường tự triển khai, Wazuh hỗ trợ tích hợp Llama 3 chạy cục bộ qua Ollama, phù hợp khi cần kiểm soát dữ liệu nội bộ. Ngoài ra, có thể dùng Claude 3.5 Haiku thông qua OpenSearch Assistant để hỏi đáp và nhận hướng dẫn xử lý.
Khuyến nghị: đội SOC nên xem các gợi ý từ AI như tham khảo kỹ thuật, đối chiếu với chính sách nội bộ, và kiểm tra lại trước khi thực hiện hành động khắc phục.