SIEM-Parser mit KI in SecureVisio erstellen und aktualisieren

Parser mit dem SecureVisio KI-Assistenten erstellen und aktualisieren

Dieser Artikel beschreibt, wie SecureVisio KI-Prompts zur Unterstützung der Parser-Erstellung und -Aktualisierung einsetzen kann. Der Workflow basiert auf vordefinierten Hersteller-Prompts oder auf benutzerdefinierten Prompts. Der KI-Assistent kann ausgewählte Log-Frames, vorhandene Parserdefinitionen und zusätzliche Hinweise zur Parser-Erstellung als Kontext erhalten und anschließend eine Parserstruktur zurückgeben, die geprüft und in SecureVisio angewendet werden kann.

1. Prompts für die Parser-Generierung vorbereiten

Die Parser-Generierung beginnt im Modul AI Prompts. Der Prompt-Typ sollte auf Parser gesetzt werden, damit parserspezifischer Kontext und Einfügeaktionen verfügbar sind. Prompts können die Rolle des KI-Assistenten, das erwartete Parser-Ziel, Mapping-Regeln, das Ausgabeformat und zusätzliches Know-how wie Hinweise zum SecureVisio-Schema definieren.

AI Prompts mit Vorlagen für parserbezogene Prompts.

Die nützlichsten Aktionen in der Symbolleiste für parserbezogene Prompts sind Insert frame und Insert parser. Damit lassen sich Prompts anhand realer Log-Beispiele und vorhandener Parserdefinitionen erstellen, ohne deren vollständigen Inhalt manuell in den Prompt-Text einzufügen.

Symbolleistenaktionen zum Einfügen eines Frames oder Parsers in einen Prompt.

2. Log-Beispiele mit Insert frame hinzufügen

Insert frame öffnet den Log-Viewer. Der Operator kann nach einem repräsentativen Log suchen und es durch Auswahl der gewünschten Zeile zum Prompt hinzufügen. Im Prompt wird eine kompakte Frame-Referenz gespeichert, während der KI-Assistent bei der Ausführung den erweiterten Log-Inhalt erhält.

Log-Browser zur Auswahl eines repräsentativen Frames für die Parser-Generierung.

{frame.ID}

Beispiel einer zum Prompt-Text hinzugefügten kontextbezogenen Frame-Referenz.

Praktischer Hinweis Verwenden Sie repräsentative Log-Beispiele. Ein von der KI generierter Parser ist nur so gut wie die Beispiele und Mapping-Erwartungen, die in der Prompt-Sequenz bereitgestellt werden.

3. Vorhandene Parser als Referenz verwenden

Insert parser öffnet ein Fenster zur Parser-Auswahl. Ein ausgewählter Parser wird dem Prompt als kontextbezogene Referenz hinzugefügt. Dadurch kann der KI-Assistent dem Stil eines vorhandenen Parsers folgen oder ihn beim Erstellen eines neuen bzw. Aktualisieren eines vorhandenen Parsers als Referenz verwenden.

Fenster zur Parser-Auswahl zum Einfügen eines vorhandenen Parsers als Kontext.

{ctx.GetParser(‘Parser Name’)}

Beispiel einer in einen Prompt eingefügten Parser-Referenz.

4. Parser-Workflows mit Profilen und Modellen organisieren

Profile gruppieren Prompt-Sequenzen. Ein Parser-Workflow kann mehrere Prompts enthalten, beispielsweise Zieldefinition, Schemahinweise, Mapping-Anforderungen, Beispiele und Ausgabeanweisungen. Im Fenster Profile configuration werden Profile erstellt und Ergebnisverhalten, Modell sowie bei Bedarf das nächste Modell zugewiesen.

Aktion zur Profilkonfiguration in der Liste der Parser-Prompts.

Parser-Profilkonfiguration mit Einstellungen für Ergebnis, Modell und nächstes Modell.

Für komplexere Szenarien kann der Workflow eine rekursive Abfrage verwenden. Ein Modell kann den Ziel-Prompt vorbereiten und an ein anderes Modell weitergeben, das die endgültige Parser-Ausgabe erzeugt. Dadurch lassen sich Qualität und Struktur generierter Parserdefinitionen verbessern.

5. Einen Parser im Modul Parsers erstellen oder aktualisieren

Um den vorbereiteten Workflow zu verwenden, öffnen Sie Detection > Parsers und starten Sie den KI-Assistenten aus dem Parser-Editor. Das Assistentenfenster zeigt verfügbare Prompt-Vorschläge an. Am unteren Rand der Oberfläche kann der Operator Modell und Profil auswählen, sodass nur der relevante Parser-Workflow ausgeführt wird.

Im Parser-Editor geöffneter KI-Assistent mit Vorschlägen für Parser-Prompts.

Beispiel-Frames können auf dieser Ebene auch direkt über Insert frame hinzugefügt werden. Der Operator kann vordefinierte Prompts verwenden, den vorbereiteten Parser-Workflow auswählen oder eine Ad-hoc-Anweisung in das Chat-Feld eingeben.

Parser-Editor mit KI-Assistent und rechts verfügbarer Prompt-Sequenz.

Vor dem Senden von Logs an das Modell kann ein Anonymisierungswörterbuch definiert werden. Damit lassen sich ausgewählte Werte aus Log-Beispielen in den an das KI-Modell übergebenen Daten anonymisieren.

Aktion zur Konfiguration der Anonymisierung vor der Verwendung von Log-Beispielen im KI-Workflow.

6. Generierte Parser-Ausgabe prüfen und anwenden

Nachdem die Prompt-Sequenz und die Log-Beispiele ausgewählt wurden, kann die Abfrage ausgeführt werden. Der KI-Assistent gibt die Parser-Ausgabe als XML-Datei zurück. Diese XML-Datei repräsentiert die SecureVisio-Parserstruktur und kann nach der Prüfung zum Ersetzen oder Aktualisieren der Parserkonfiguration verwendet werden.

Vom KI-Assistenten zurückgegebener generierter Parser-Inhalt.

Aktion Open XML für die generierte Parser-Ausgabe.

Das XML-Format schränkt die Parsing-Methode selbst nicht ein. Es bildet die SecureVisio-Parserstruktur ab. Unterstützte Parseransätze umfassen unter anderem key=value, regex, CEF und LEEF. Der generierte Parser sollte anhand der ausgewählten Log-Beispiele geprüft werden, bevor er eine vorhandene Konfiguration ersetzt.

Vor der Anwendung prüfen Die generierte XML-Datei sollte als vorgeschlagene Parserkonfiguration behandelt werden. Prüfen Sie Mapping und Parsing-Logik anhand ausgewählter Log-Beispiele, bevor Sie einen vorhandenen Parser ersetzen.