Jak tworzyć i aktualizować reguły detekcji SIEM z AI w SecureVisio

Tworzenie i aktualizowanie reguł bezpieczeństwa z użyciem Asystenta AI SecureVisio

Ten artykuł opisuje, w jaki sposób SecureVisio może wykorzystywać prompty AI do wspierania tworzenia i aktualizowania reguł bezpieczeństwa. Przepływ pracy opiera się na promptach tworzonych w kontekście Security Rules, w którym Asystent AI może przed wygenerowaniem logiki reguły wykorzystywać jako kontekst właściwości reguły, nazwy sparsowanych pól, opisy pól, odwołania MITRE i wybrane przykłady.

To samo podejście można wykorzystać do tworzenia nowej reguły, aktualizacji istniejącej reguły, wyjaśniania lub rozszerzania skryptów reguł oraz budowania logiki detekcji na podstawie przykładowych ramek, zdarzeń, kontekstu parsera lub technik MITRE ATT&CK.

Przygotowanie promptów do generowania reguł

Generowanie reguł bezpieczeństwa rozpoczyna się w module AI Prompts. Typ promptu powinien być ustawiony na Security Rules, aby w treści promptu dostępne były kontekst specyficzny dla reguł, informacje o schemacie i akcje wstawiania.

AI Prompts z wybranym typem Security Rules.

Prompt do generowania reguł powinien jasno definiować oczekiwane zadanie: czy AI ma utworzyć nową regułę, zaktualizować istniejącą, wyjaśnić bieżącą logikę czy wygenerować zapytanie/skrypt, który zostanie zastosowany w formularzu reguły.

Tworzenie profili do tworzenia i aktualizacji reguł

Profile organizują prompty w wielokrotnego użytku przepływy reguł. Praktyczna konfiguracja wykorzystuje osobne profile do tworzenia nowej reguły i aktualizowania reguły istniejącej. Dzięki temu sugestie Asystenta AI są bardziej jednoznaczne, a ryzyko zastosowania niewłaściwego wyniku do bieżącego kontekstu reguły jest mniejsze.

Konfiguracja profilu Security Rules z kolumnami Result, Model i Next Model.

Ustawienie profilu	Cel
Nazwa i opis	Identyfikuje przepływ pracy wyświetlany operatorowi, np. New Security Rule lub UpdateRule.
Result	Określa wpływ odpowiedzi AI na bieżący kontekst reguły, np. utworzenie nowego kontekstu lub aktualizację istniejącego.
Model	Opcjonalnie wybiera model używany dla promptów przypisanych do profilu.
Next Model	Opcjonalnie wybiera drugi model, gdy przepływ pracy korzysta z wygenerowanego zapytania przekazywanego do innego modelu.
Zalecany podział Używaj jednego profilu do tworzenia nowych reguł bezpieczeństwa, a osobnego do aktualizacji istniejących. Przepływy tworzenia i aktualizowania reguł zwykle wymagają różnych instrukcji i odmiennego zachowania wyniku.

Korzystanie z kontekstu reguły, schematu i MITRE

W kontekście Security Rules prompty mogą odwoływać się do kilku grup kontekstu. Odwołania te zwiększają precyzję generowanej reguły, ponieważ Asystent AI może pracować z kontekstem reguły SecureVisio, polami schematu i nazwami technik MITRE zamiast opierać się wyłącznie na instrukcjach tekstowych.

Grupa kontekstu	Jak wspiera generowanie reguły
ctx.	Odwołuje się do bieżącego kontekstu reguły bezpieczeństwa, w tym do właściwości reguły i – jeśli ma zastosowanie – skryptu.
fd.	Udostępnia opisy pól SecureVisio, które pomagają modelowi zrozumieć znaczenie poszczególnych sparsowanych pól.
fn.	Udostępnia nazwy pól SecureVisio, które mogą być używane bezpośrednio w generowanej logice reguły.
mitre.	Udostępnia odwołania MITRE, w tym techniki Enterprise ATT&CK oraz techniki wewnętrzne.

Podpowiedzi ctx. dostępne w edytorze promptów Security Rules.

Podpowiedzi fd. z opisami pól SecureVisio.

Podpowiedzi mitre. dotyczące kontekstu reguł powiązanego z MITRE.

Dodawanie przykładów i istniejącego kontekstu

Prompty dotyczące reguł bezpieczeństwa można wzbogacać o wybrane obiekty z SecureVisio. Akcje wstawiania umożliwiają operatorowi dodawanie rzeczywistych przykładów i istniejących elementów konfiguracji bez ręcznego kopiowania ich pełnej zawartości do promptu.

Akcja wstawiania	Typowe zastosowanie
Insert frame	Dodaje przykładową ramkę, która powinna wyzwolić wygenerowaną lub zaktualizowaną regułę.
Insert event	Dodaje przykładowe zdarzenie jako kontekst oczekiwanego zachowania reguły.
Insert parser	Dodaje kontekst parsera, gdy logika reguły zależy od konkretnych sparsowanych pól.
Insert rule script	Dodaje istniejący skrypt reguły, gdy AI ma go wyjaśnić, zaktualizować lub rozszerzyć.

Akcja Insert frame w edytorze promptów Security Rules.

Akcja Insert parser w edytorze promptów Security Rules.

Akcja wstawiania skryptu reguły bezpieczeństwa w edytorze promptów Security Rules.

Wskazówka praktyczna Używaj przykładów reprezentujących zamierzony scenariusz detekcji. Wygenerowana reguła jest bardziej użyteczna, gdy prompt zawiera realistyczną ramkę, odpowiednie nazwy pól i jasno określony oczekiwany wynik.

Uruchamianie przepływu pracy z formularza reguły bezpieczeństwa

Po przygotowaniu promptów i profili operator może korzystać z Asystenta AI bezpośrednio z nowej lub istniejącej reguły bezpieczeństwa. Asystent otwiera się w kontekście reguły, a operator może wybrać profil odpowiadający wymaganemu przepływowi pracy.

Asystent AI uruchomiony z formularza reguły z wyborem profilu dostępnym u dołu.

Operator wybiera odpowiedni profil, uruchamia prompt lub sekwencję promptów i analizuje odpowiedź wygenerowaną przez wybrany model. Jeśli sugestie promptów nie są widoczne, panel promptów można otworzyć z poziomu interfejsu asystenta.

Sugestia promptu wybrana w Asystencie AI w ramach przepływu reguły.

Weryfikacja i zastosowanie wygenerowanego skryptu reguły

Po wykonaniu skonfigurowanego promptu Asystent AI może wygenerować skrypt reguły i umieścić go w edytorze reguły zgodnie ze skonfigurowanym zachowaniem wyniku. W przypadku aktualizacji reguły wygenerowana logika może zostać dołączona do istniejącego skryptu lub z nim połączona, zależnie od wybranej konfiguracji profilu.

Wygenerowany skrypt reguły wyświetlony w edytorze reguł bezpieczeństwa po wykonaniu przez AI.

Wygenerowany skrypt należy zweryfikować przed użyciem operacyjnym. Operator powinien sprawdzić wybrane pola, warunki, wartości klasyfikacji i oczekiwane zachowanie reguły, a następnie przetestować ją na reprezentatywnych danych przed włączeniem w środowisku produkcyjnym.

Zalecany przepływ pracy Utrzymuj przepływy reguł wspomagane przez AI wąskie i jednoznaczne. Określ, czy wynik ma utworzyć nową regułę, czy zaktualizować istniejącą, podaj reprezentatywne przykłady i zweryfikuj wygenerowany skrypt przed zastosowaniem go w produkcyjnej logice detekcji.