KI-Prompts und Workflows in SecureVisio SIEM konfigurieren

Modellintegration, Prompt-Erstellung, Log-Analyse, Erstellung von Sicherheitsregeln und Parsern

Einführung: Integration von KI-Modellen

SecureVisio kann den KI-Assistenten mit mehreren Endpunkten für Sprachmodelle integrieren. Die Umgebung kann cloudbasierte Modelle, lokale Modelle oder eine gemischte Konfiguration verwenden, bei der unterschiedliche Workflows an unterschiedliche Modelle weitergeleitet werden.

Eine Modellverbindung basiert auf der Endpunktadresse, dem Modellnamen und – falls erforderlich – den Authentifizierungsdaten. In der Praxis bedeutet dies, dass für die Konfiguration die URL oder IP-Adresse, unter der das Modell bereitgestellt wird, die vom Anbieter verwendete Modellkennung sowie gegebenenfalls ein API-Schlüssel erforderlich sind.

Nachdem die Modelle konfiguriert wurden, steuert der AI Prompt Editor, wie sie verwendet werden. Ein Standardmodell kann global ausgewählt werden, während Prompt-Profile ausgewählte Workflows an ein anderes Modell weiterleiten oder einen erzeugten Prompt von einem Modell an ein anderes übergeben können. Dadurch kann dieselbe SecureVisio-Umgebung unterschiedliche Modelle für die Log-Analyse, die Regelerstellung, die Parser-Generierung oder andere operative Aufgaben nutzen.

Der KI-Assistent arbeitet im Kontext des Bereichs, aus dem er geöffnet wurde. Arbeitet der Operator mit einem Log, erhält der Assistent den zugehörigen Log-Kontext. Wird er aus einer Sicherheitsregel, einem Parser, einem Incident oder einer Schwachstelle geöffnet, ändern sich die verfügbaren Prompts, Platzhalter und Aktionen entsprechend.

1. KI-Prompts erstellen und verwalten

Der AI Prompt Editor dient zum Erstellen wiederverwendbarer KI-Anweisungen. Ein Prompt kann einem bestimmten Kontext zugewiesen, in einem Profil gruppiert, auf ausgewählte Response-Teams beschränkt, versioniert, exportiert und im KI-Assistenten wiederverwendet werden.

Zugriffspfad: Desktop > Detection > AI Prompts

Formular AI Prompts mit Prompt-Liste, Typauswahl und Bereich zur Prompt-Definition.

1.1 Den richtigen Prompt-Kontext auswählen

Prompts sollten in dem engsten Kontext erstellt werden, der zur jeweiligen Aufgabe passt. Der ausgewählte Kontext bestimmt, welche Objekte in den Prompt eingefügt werden können und an welcher Stelle der Anwendung der Prompt verfügbar ist.

Prompt-Kontext	Typische Verwendung
Chat	Allgemeine Assistentenkonversationen, die nicht an einen bestimmten operativen Datensatz gebunden sind.
Log	Erläuterung, Untersuchung und Transformation ausgewählter Frames oder Logs.
Event	Analyse auf Grundlage des eventbezogenen Frame- und Datenbankkontexts.
Incident	Incident-orientierte Analyse unter Verwendung des Incident-Kontexts, zugehöriger Frame-Daten und des Datenbankkontexts.
Vulnerability	Unterstützung mit Schwerpunkt auf Schwachstellen unter Verwendung des Schwachstellenkontexts, von CVSS-Daten und Softwareinformationen.
Security Rules	Erstellung oder Änderung von Regelskripten unter Verwendung des Regelkontexts, von Schemafeldern und MITRE-Referenzen.
Parser	Erstellung oder Aktualisierung von Parsern anhand von Beispiel-Logs und optionalen Referenz-Parserdefinitionen.
Script action	Verwendung ausgewählter Systemaktionsskripte über ctx.GetScript().
PowerShell Connector	Vorbereitung von Integrationsworkflows, die Logs aktiv über LogForwarder abrufen.

1.2 Einen Prompt erstellen

1. Öffnen Sie Desktop > Detection > AI Prompts.

2. Wählen Sie den zum Workflow passenden Type aus, zum Beispiel Log, Parser oder Security Rules.

3. Klicken Sie auf Add, um einen Prompt zu erstellen, oder auf Copy, um einen neuen Prompt auf einem vorhandenen aufzubauen.

4. Geben Sie innerhalb des ausgewählten Type einen eindeutigen Name ein.

5. Aktivieren Sie Active, wenn der Prompt im KI-Assistenten sichtbar sein soll.

6. Wählen Sie die Role: Introduction für Einrichtungsanweisungen oder Query für Prompts, die dem Operator zur Verfügung stehen.

7. Legen Sie optional die Sichtbarkeit für ein Response team fest.

8. Weisen Sie ein oder mehrere Profiles zu, damit der Prompt in einem gruppierten Workflow verfügbar ist.

9. Schreiben Sie den Prompt-Text, fügen Sie kontextbezogene Platzhalter oder eingefügte Objekte hinzu und speichern Sie die Konfiguration.

Steuerelemente der Prompt-Definition für Rolle, Response-Team und Profilzuweisung.

1.3 Rollen, Profile und Ergebnisverhalten verwenden

Introduction-Prompts legen ein stabiles Verhalten für den Beginn einer Konversation fest. Query-Prompts sind wiederverwendbare Aktionen, die vom Operator ausgewählt werden. Wenn eine neue Konversation beginnt und ein Query-Prompt ausgewählt wird, werden zuerst die zugehörigen Introduction-Prompts gesendet und anschließend der ausgewählte Query-Prompt ausgeführt.

Profiles organisieren Prompts in Workflow-Gruppen. Sie definieren außerdem, wie die KI-Antwort auf den aktuellen Kontext angewendet wird und – falls erforderlich – welches Modell für den Workflow verwendet wird.

Profilkonfiguration mit den Spalten Result, Model und Next Model.

Ergebnis	Wirkung
None	Die KI-Antwort wird zurückgegeben, ohne den aktuellen Kontext zu ändern.
New context	Der erzeugte Inhalt ersetzt das aktuelle Skript oder den aktuellen Kontext, sofern dieses Verhalten unterstützt wird.
Update context	Das erzeugte Skript wird – sofern unterstützt – in der Form (aktuelles Skript) AND (neues Skript) zum aktuellen Skript hinzugefügt.
New query	Ein Modell erzeugt einen neuen Prompt, der an das als Next Model ausgewählte Modell übergeben wird.

1.4 Kontextbezogene Platzhalter und Bedingungen verwenden

Der Prompt-Text kann kontextbezogene Platzhalter enthalten. Nach dem Öffnen einer geschweiften Klammer zeigt der Editor IntelliSense-Vorschläge für Objekte an, die im ausgewählten Prompt-Kontext verfügbar sind. Bei der Ausführung des Prompts erweitert SecureVisio den kompakten Ausdruck und sendet den daraus entstehenden Kontext an den KI-Assistenten.

IntelliSense-Vorschläge für Platzhalter des Prompt-Kontexts.

Objekt	Verwendung
ctx.	Hauptobjekt für den ausgewählten Kontext, z. B. einen Parser-, Regel-, Incident- oder Schwachstellenkontext.
frame.	Frame-Daten, wenn der ausgewählte Kontext einen Log- oder Event-Frame enthält.
dbo.	Datenbankkontext, sofern verfügbar.
fd.	Feldbeschreibungen im Kontext Security Rules.
fn.	Feldnamen im Kontext Security Rules.
mitre.	MITRE-Referenzen, die im Kontext Security Rules verfügbar sind.

Mit Prompt-Bedingungen kann ein Prompt nur dann angezeigt werden, wenn er auf den ausgewählten Datensatz zutrifft. Literale geschweifte und eckige Klammern können mit einem Backslash maskiert werden. Für reguläre Ausdrücke, die diese Zeichen verwenden, kann @regexp genutzt werden; der Ausdruck wird dabei in einfache Anführungszeichen gesetzt.

\{  \}  \[  \]

@regexp ‘^[A-Za-z0-9\.\-_]+$’

IsNotNull(_UserId) AND IsNotNullOrEmpty(SrcUserName)