SIEM-Erkennungsregeln mit KI in SecureVisio erstellen und aktualisieren

Sicherheitsregeln mit dem SecureVisio KI-Assistenten erstellen und aktualisieren

Dieser Artikel beschreibt, wie SecureVisio KI-Prompts zur Unterstützung bei der Erstellung und Aktualisierung von Sicherheitsregeln einsetzen kann. Der Workflow basiert auf Prompts, die im Kontext Security Rules erstellt werden. Dort kann der KI-Assistent Regeleigenschaften, Namen geparster Felder, Feldbeschreibungen, MITRE-Referenzen und ausgewählte Beispiele als Kontext verwenden, bevor er die Regellogik generiert.

Derselbe Ansatz kann verwendet werden, um eine neue Regel zu erstellen, eine vorhandene Regel zu aktualisieren, Regelskripte zu erläutern oder zu erweitern und Erkennungslogik auf Basis von Beispiel-Frames, Events, Parser-Kontext oder MITRE-ATT&CK-Techniken zu erstellen.

Prompts für die Regelerstellung vorbereiten

Die Erstellung von Sicherheitsregeln beginnt im Modul AI Prompts. Der Prompt-Typ sollte auf Security Rules gesetzt werden, damit regelspezifischer Kontext, Schemainformationen und Einfügeaktionen im Prompt-Text verfügbar sind.

AI Prompts mit ausgewähltem Typ Security Rules.

Ein Prompt zur Regelerstellung sollte die erwartete Aufgabe eindeutig definieren: ob die KI eine neue Regel erstellen, eine vorhandene Regel aktualisieren, die aktuelle Logik erläutern oder eine Abfrage/ein Skript erzeugen soll, das auf das Regelformular angewendet wird.

Profile für Regelerstellung und -aktualisierung anlegen

Profile organisieren Prompts in wiederverwendbaren Regel-Workflows. Eine praktische Konfiguration verwendet getrennte Profile für das Erstellen einer neuen Regel und für das Aktualisieren einer vorhandenen Regel. Dadurch werden die Vorschläge des KI-Assistenten klarer und das Risiko sinkt, ein falsches Ergebnis auf den aktuellen Regelkontext anzuwenden.

Profilkonfiguration für Security Rules mit den Spalten Result, Model und Next Model.

Profileinstellung	Zweck
Name und Beschreibung	Kennzeichnet den dem Operator angezeigten Workflow, z. B. New Security Rule oder UpdateRule.
Result	Legt fest, wie sich die KI-Antwort auf den aktuellen Regelkontext auswirkt, beispielsweise durch Erstellen eines neuen Kontexts oder Aktualisieren des vorhandenen.
Model	Wählt optional das Modell aus, das für dem Profil zugewiesene Prompts verwendet wird.
Next Model	Wählt optional ein zweites Modell aus, wenn der Workflow eine erzeugte Abfrage verwendet, die an ein anderes Modell übergeben wird.
Empfohlene Aufteilung Verwenden Sie ein Profil zum Erstellen neuer Sicherheitsregeln und ein separates Profil zum Aktualisieren vorhandener Regeln. Workflows für Regelerstellung und Regelaktualisierung erfordern in der Regel unterschiedliche Anweisungen und ein unterschiedliches Ergebnisverhalten.

Regel-, Schema- und MITRE-Kontext verwenden

Im Kontext Security Rules können Prompts auf mehrere Kontextgruppen verweisen. Diese Referenzen machen die generierte Regel präziser, weil der KI-Assistent mit dem SecureVisio-Regelkontext, Schemafeldern und MITRE-Techniknamen arbeiten kann, anstatt sich ausschließlich auf Freitextanweisungen zu stützen.

Kontextgruppe	Unterstützung bei der Regelerstellung
ctx.	Verweist auf den aktuellen Kontext der Sicherheitsregel, einschließlich Regeleigenschaften und – sofern zutreffend – Skript.
fd.	Stellt SecureVisio-Feldbeschreibungen bereit, die dem Modell helfen zu verstehen, was einzelne geparste Felder bedeuten.
fn.	Stellt SecureVisio-Feldnamen bereit, die direkt in der generierten Regellogik verwendet werden können.
mitre.	Stellt MITRE-Referenzen bereit, darunter Enterprise-ATT&CK-Techniken und interne Techniken.

ctx.-Vorschläge im Prompt-Editor für Security Rules.

fd.-Vorschläge mit SecureVisio-Feldbeschreibungen.

mitre.-Vorschläge für MITRE-bezogenen Regelkontext.

Beispiele und vorhandenen Kontext hinzufügen

Prompts für Sicherheitsregeln können mit ausgewählten Objekten aus SecureVisio angereichert werden. Über Einfügeaktionen kann der Operator reale Beispiele und vorhandene Konfigurationselemente hinzufügen, ohne deren vollständigen Inhalt manuell in den Prompt zu kopieren.

Einfügeaktion	Typische Verwendung
Insert frame	Fügt einen Beispiel-Frame hinzu, der die generierte oder aktualisierte Regel auslösen soll.
Insert event	Fügt ein Beispiel-Event als Kontext für das erwartete Regelverhalten hinzu.
Insert parser	Fügt Parser-Kontext hinzu, wenn die Regellogik von bestimmten geparsten Feldern abhängt.
Insert rule script	Fügt ein vorhandenes Regelskript hinzu, wenn die KI es erläutern, aktualisieren oder erweitern soll.

Aktion Insert frame im Prompt-Editor für Security Rules.

Aktion Insert parser im Prompt-Editor für Security Rules.

Aktion zum Einfügen eines Sicherheitsregel-Skripts im Prompt-Editor für Security Rules.

Praktischer Hinweis Verwenden Sie Beispiele, die das beabsichtigte Erkennungsszenario repräsentieren. Eine generierte Regel ist hilfreicher, wenn der Prompt einen realistischen Frame, relevante Feldnamen und ein klar definiertes erwartetes Ergebnis enthält.

Workflow aus dem Formular der Sicherheitsregel starten

Nachdem Prompts und Profile vorbereitet wurden, kann der Operator den KI-Assistenten direkt aus einer neuen oder vorhandenen Sicherheitsregel verwenden. Der Assistent wird im Regelkontext geöffnet, und der Operator kann das Profil auswählen, das zum benötigten Workflow passt.

Aus einem Regelformular geöffneter KI-Assistent mit Profilauswahl am unteren Rand.

Der Operator wählt das relevante Profil aus, führt den Prompt oder die Prompt-Sequenz aus und prüft die vom ausgewählten Modell erzeugte Antwort. Wenn keine Prompt-Vorschläge sichtbar sind, kann das Prompt-Panel über die Assistentenoberfläche geöffnet werden.

Im KI-Assistenten ausgewählter Prompt-Vorschlag innerhalb eines Regel-Workflows.

Generiertes Regelskript prüfen und anwenden

Wenn der konfigurierte Prompt ausgeführt wird, kann der KI-Assistent ein Regelskript generieren und es entsprechend dem konfigurierten Ergebnisverhalten in den Regel-Editor übernehmen. Bei Regelaktualisierungen kann die generierte Logik – abhängig von der ausgewählten Profilkonfiguration – an das vorhandene Skript angehängt oder mit ihm kombiniert werden.

Nach der KI-Ausführung im Sicherheitsregel-Editor angezeigtes generiertes Regelskript.

Das generierte Skript sollte vor dem operativen Einsatz geprüft werden. Der Operator sollte die ausgewählten Felder, Bedingungen, Klassifizierungswerte und das erwartete Regelverhalten überprüfen und die Regel anschließend mit repräsentativen Daten testen, bevor sie in der Produktivumgebung aktiviert wird.

Empfohlener Workflow Halten Sie KI-gestützte Regel-Workflows eng gefasst und eindeutig. Definieren Sie, ob das Ergebnis eine neue Regel erstellen oder eine vorhandene aktualisieren soll, stellen Sie repräsentative Beispiele bereit und prüfen Sie das generierte Skript, bevor Sie es auf die produktive Erkennungslogik anwenden.