R-Vision представил Detection Drift – инструмент на базе LLM для автоматизации переноса правил детектирования. Решение помогает адаптировать существующие правила из различных SIEM-систем для использования в R-Vision SIEM. Об этом CNews сообщили представители R-Vision.

Detection Drift анализирует логику исходного правила, преобразует ее в формат R-Vision SIEM и проверяет полученный результат. Решение обладает механизмом обратной связи: если при проверке обнаруживаются ошибки или несоответствия, он учитывает их и запускает следующую итерацию обработки. Таких итераций может быть несколько - до получения готового правила.

Перенос логики вместо ручного переписывания правил

При переходе на новую SIEM-систему перенос правил корреляции становится одним из наиболее дорогостоящих этапов, так как требует значительных трудозатрат аналитиков и инженеров.

Правила в разных SIEM отличаются не только синтаксисом, но и структурой данных, названиями полей и особенностями реализации логики детектирования. Поэтому простой замены конструкций одного языка на другой недостаточно: необходимо сохранить исходную логику правила и корректно адаптировать ее под устройство целевой системы, а после проверить его работу и при необходимости доработать. Чем больше накопленная база правил, тем выше стоимость и продолжительность миграции.

Detection Drift автоматизирует этот процесс. Инструмент определяет исходный формат правила, анализирует заложенную в нем логику обнаружения угроз и адаптирует ее под структуру R-Vision SIEM.

Для более точного сопоставления полей Detection Drift может анализировать примеры событий. В качестве дополнительной базы знаний можно использовать существующую экспертизу вендора в формате. roc с релевантными примерами реализации правил.

Автоматическая проверка результата

Сформированное правило проходит встроенную валидацию до того, как будет выдан итоговый результат. Если валидатор обнаруживает неточности, Detection Drift автоматически запускает повторную итерацию правила с учетом выявленных ошибок.

Поддержка разных источников экспертизы

Detection Drift работает с распространенными форматами правил и языками детектирования, среди которых: Sigma, Splunk SPL, MaxPatrol SIEM, KQL и Elastic, QRadar и ArcSight, Chronicle, YARA и другие форматы.

Исходный синтаксис определяется автоматически, поэтому специалисту не требуется заранее указывать тип загружаемого правила.

Выбор ИИ-модели и прозрачность для SOC

Detection Drift поддерживает работу как с локальными, так и с облачными ИИ-моделями. Инструмент может подключаться к модели через OpenCode, облачный API или локальный OpenAI-совместимый endpoint. Это позволяет выбрать подходящий вариант с учетом требований организации к инфраструктуре, безопасности и работе с данными.

Открытый доступ для развития экспертизы

Detection Drift опубликован в открытом доступе на платформе GitVerse. Пользователи могут применять инструмент в собственных сценариях, изучать его работу и дорабатывать под свои задачи.

«Инструмент Detection Drift помогает сократить трудозатраты на перенос и адаптацию правил, беря на себя значительную часть рутинной работы. При этом мы не рассматриваем ИИ как замену экспертизе аналитика. Модель ускоряет процесс, но ответственность за корректность итогового правила и его применение в конкретной инфраструктуре остается за специалистом. Такой подход позволяет получить преимущества автоматизации, сохраняя необходимый уровень контроля», – отметил Борис Нестеров, руководитель группы детектирования угроз R-Vision.

• Лучшие тарифы на выделенные серверы Dedicated на ИТ-маркетплейсе CNewsMarket