Jak tworzyć i aktualizować parsery SIEM z AI w SecureVisio

Tworzenie i aktualizowanie parserów z użyciem Asystenta AI SecureVisio
Ten artykuł opisuje, w jaki sposób SecureVisio może wykorzystywać prompty AI do wspierania tworzenia i aktualizacji parserów. Przepływ pracy opiera się na predefiniowanych promptach producenta lub na promptach niestandardowych przygotowanych przez użytkownika. Asystent AI może otrzymywać jako kontekst wybrane ramki logów, istniejące definicje parserów i dodatkowe wskazówki dotyczące tworzenia parserów, a następnie zwracać strukturę parsera, którą można zweryfikować i zastosować w SecureVisio.

1. Przygotowanie promptów do generowania parsera

Generowanie parsera rozpoczyna się w module AI Prompts. Typ promptu powinien być ustawiony na Parser, aby dostępne były kontekst specyficzny dla parsera i akcje wstawiania. Prompty mogą definiować rolę Asystenta AI, oczekiwany cel parsera, reguły mapowania, format wyjściowy oraz dodatkową wiedzę, np. wytyczne dotyczące schematu SecureVisio.

AI Prompts otwarte z szablonami promptów dotyczącymi parserów.

Najbardziej przydatne akcje paska narzędzi dla promptów dotyczących parserów to Insert frame i Insert parser. Umożliwiają budowanie promptów na podstawie rzeczywistych próbek logów i istniejących definicji parserów bez ręcznego wklejania ich pełnej treści do promptu.

Akcje paska narzędzi służące do wstawiania ramki lub parsera do promptu.

2. Dodawanie próbek logów za pomocą Insert frame

Insert frame otwiera przeglądarkę logów. Operator może wyszukać reprezentatywny log i dodać go do promptu, wybierając odpowiedni wiersz. Prompt przechowuje skrócone odwołanie do ramki, natomiast podczas wykonywania Asystent AI otrzymuje rozwiniętą treść logu.

Przeglądarka logów używana do wyboru reprezentatywnej ramki do generowania parsera.

{frame.ID}

Przykład kontekstowego odwołania do ramki dodanego do treści promptu.

Wskazówka praktyczna Używaj reprezentatywnych próbek logów. Parser wygenerowany przez AI jest tak dobry, jak przykłady i oczekiwania dotyczące mapowania przekazane w sekwencji promptów.

3. Wykorzystanie istniejących parserów jako referencji

Insert parser otwiera okno wyboru parsera. Wybrany parser jest dodawany do promptu jako odwołanie kontekstowe. Dzięki temu Asystent AI może naśladować styl istniejącego parsera lub użyć go jako wzorca podczas generowania nowego parsera albo aktualizacji istniejącego.

Okno wyboru parsera służące do wstawienia istniejącego parsera jako kontekstu.

{ctx.GetParser(’Parser Name’)}

Przykład odwołania do parsera wstawionego do promptu.

4. Organizowanie przepływów parsera za pomocą profili i modeli

Profile grupują sekwencje promptów. Przepływ parsera może zawierać kilka promptów, np. definicję celu, wytyczne dotyczące schematu, wymagania mapowania, przykłady i instrukcje dotyczące wyniku. Okno Profile configuration służy do tworzenia profili i przypisywania zachowania wyniku, modelu oraz w razie potrzeby następnego modelu.

Akcja konfiguracji profilu dostępna na liście promptów parsera.

Konfiguracja profilu parsera z ustawieniami wyniku, modelu i kolejnego modelu.

W bardziej złożonych scenariuszach przepływ pracy może korzystać z zapytania rekurencyjnego. Jeden model może przygotować docelowy prompt i przekazać go do innego modelu, który wygeneruje końcowy wynik parsera. Może to poprawić jakość i strukturę generowanych definicji parserów.

5. Generowanie lub aktualizacja parsera w module Parsers

Aby użyć przygotowanego przepływu pracy, otwórz Detection > Parsers i uruchom Asystenta AI z edytora parsera. Panel asystenta wyświetla dostępne sugestie promptów. Operator może wybrać model i profil u dołu interfejsu, tak aby uruchamiany był wyłącznie właściwy przepływ parsera.

Asystent AI otwarty w edytorze parsera z sugestiami promptów parsera.

Przykładowe ramki można również dodać bezpośrednio z tego poziomu za pomocą Insert frame. Operator może użyć predefiniowanych promptów, wybrać przygotowany przepływ parsera albo wpisać doraźną instrukcję w polu czatu.

Edytor parsera z Asystentem AI i sekwencją promptów dostępną po prawej stronie.

Przed wysłaniem logów do modelu można zdefiniować słownik anonimizacji. Pozwala to anonimizować wybrane wartości z próbek logów w danych przekazywanych do modelu AI.

Akcja konfiguracji anonimizacji przed użyciem próbek logów w przepływie AI.

6. Weryfikacja i zastosowanie wygenerowanego parsera

Po wybraniu sekwencji promptów i próbek logów można wykonać zapytanie. Asystent AI zwraca wynik parsera w postaci pliku XML. Plik ten reprezentuje strukturę parsera SecureVisio i po weryfikacji może zostać użyty do zastąpienia lub aktualizacji konfiguracji parsera.

Wygenerowana zawartość parsera zwrócona przez Asystenta AI.

Akcja Open XML dla wygenerowanego wyniku parsera.

Format XML nie ogranicza samej metody parsowania. Jest to struktura parsera SecureVisio. Obsługiwane podejścia obejmują m.in. key=value, regex, CEF i LEEF. Wygenerowany parser należy zweryfikować względem wybranych próbek logów, zanim zastąpi istniejącą konfigurację.

Weryfikacja przed zastosowaniem Wygenerowany XML należy traktować jako propozycję konfiguracji parsera. Przed zastąpieniem istniejącego parsera sprawdź mapowanie i logikę parsowania względem wybranych próbek logów.