R-Vision разработал ИИ-инструмент для переноса правил корреляции
- CNews FORUM 12 ноября
- CNews AWARDS 12 ноября
- Школа Роста
- Российский рынок облаков за 20 лет
- 30 лет рынку ERP в России
- Главные
ИТ-сценарии 2026 - Цифровизация
- Импортозамещение
- Безопасность
- ИТ в госсекторе
- ИТ в банках
- ИТ в торговле
- Телеком
- Интернет
- ИТ-бизнес
- Рейтинги
- Инфографика
|
R-Vision представил Detection Drift – инструмент на базе LLM для автоматизации переноса правил детектирования. Решение помогает адаптировать существующие правила из различных SIEM-систем для использования в R-Vision SIEM. Об этом CNews сообщили представители R-Vision.
Detection Drift анализирует логику исходного правила, преобразует ее в формат R-Vision SIEM и проверяет полученный результат. Решение обладает механизмом обратной связи: если при проверке обнаруживаются ошибки или несоответствия, он учитывает их и запускает следующую итерацию обработки. Таких итераций может быть несколько - до получения готового правила.
Перенос логики вместо ручного переписывания правил
При переходе на новую SIEM-систему перенос правил корреляции становится одним из наиболее дорогостоящих этапов, так как требует значительных трудозатрат аналитиков и инженеров.
Правила в разных SIEM отличаются не только синтаксисом, но и структурой данных, названиями полей и особенностями реализации логики детектирования. Поэтому простой замены конструкций одного языка на другой недостаточно: необходимо сохранить исходную логику правила и корректно адаптировать ее под устройство целевой системы, а после проверить его работу и при необходимости доработать. Чем больше накопленная база правил, тем выше стоимость и продолжительность миграции.
Detection Drift автоматизирует этот процесс. Инструмент определяет исходный формат правила, анализирует заложенную в нем логику обнаружения угроз и адаптирует ее под структуру R-Vision SIEM.
Для более точного сопоставления полей Detection Drift может анализировать примеры событий. В качестве дополнительной базы знаний можно использовать существующую экспертизу вендора в формате. roc с релевантными примерами реализации правил.
Автоматическая проверка результата
Сформированное правило проходит встроенную валидацию до того, как будет выдан итоговый результат. Если валидатор обнаруживает неточности, Detection Drift автоматически запускает повторную итерацию правила с учетом выявленных ошибок.
Поддержка разных источников экспертизы
Detection Drift работает с распространенными форматами правил и языками детектирования, среди которых: Sigma, Splunk SPL, MaxPatrol SIEM, KQL и Elastic, QRadar и ArcSight, Chronicle, YARA и другие форматы.
Исходный синтаксис определяется автоматически, поэтому специалисту не требуется заранее указывать тип загружаемого правила.
Выбор ИИ-модели и прозрачность для SOC
Detection Drift поддерживает работу как с локальными, так и с облачными ИИ-моделями. Инструмент может подключаться к модели через OpenCode, облачный API или локальный OpenAI-совместимый endpoint. Это позволяет выбрать подходящий вариант с учетом требований организации к инфраструктуре, безопасности и работе с данными.
Открытый доступ для развития экспертизы
Detection Drift опубликован в открытом доступе на платформе GitVerse. Пользователи могут применять инструмент в собственных сценариях, изучать его работу и дорабатывать под свои задачи.
«Инструмент Detection Drift помогает сократить трудозатраты на перенос и адаптацию правил, беря на себя значительную часть рутинной работы. При этом мы не рассматриваем ИИ как замену экспертизе аналитика. Модель ускоряет процесс, но ответственность за корректность итогового правила и его применение в конкретной инфраструктуре остается за специалистом. Такой подход позволяет получить преимущества автоматизации, сохраняя необходимый уровень контроля», – отметил Борис Нестеров, руководитель группы детектирования угроз R-Vision.
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.