R-Vision разработал AI-инструмент для переноса правил корреляции
Решение позволит автоматизировать перенос правил детектирования при миграции между SIEM-системами
R-Vision представил Detection Drift — инструмент на базе LLM для автоматизации переноса правил детектирования. Решение помогает адаптировать существующие правила из различных SIEM-систем для использования в R-Vision SIEM.
Detection Drift анализирует логику исходного правила, преобразует её в формат R-Vision SIEM и проверяет полученный результат. Решение обладает механизмом обратной связи: если при проверке обнаруживаются ошибки или несоответствия, он учитывает их и запускает следующую итерацию обработки. Таких итераций может быть несколько — до получения готового правила.
Перенос логики вместо ручного переписывания правил
При переходе на новую SIEM-систему перенос правил корреляции становится одним из наиболее дорогостоящих этапов, так как требует значительных трудозатрат аналитиков и инженеров.
Правила в разных SIEM отличаются не только синтаксисом, но и структурой данных, названиями полей и особенностями реализации логики детектирования. Поэтому простой замены конструкций одного языка на другой недостаточно: необходимо сохранить исходную логику правила и корректно адаптировать её под устройство целевой системы, а после проверить его работу и при необходимости доработать. Чем больше накопленная база правил, тем выше стоимость и продолжительность миграции.
Detection Drift автоматизирует этот процесс. Инструмент определяет исходный формат правила, анализирует заложенную в нём логику обнаружения угроз и адаптирует её под структуру R-Vision SIEM.
Для более точного сопоставления полей Detection Drift может анализировать примеры событий. В качестве дополнительной базы знаний можно использовать существующую экспертизу вендора в формате. roc с релевантными примерами реализации правил.
Рис.1 Интерфейс Detection Drift
Автоматическая проверка результата
Сформированное правило проходит встроенную валидацию до того, как будет выдан итоговый результат. Если валидатор обнаруживает неточности, Detection Drift автоматически запускает повторную итерацию правила с учётом выявленных ошибок.
Поддержка разных источников экспертизы
Detection Drift работает с распространёнными форматами правил и языками детектирования, среди которых: Sigma, Splunk SPL, MaxPatrol SIEM, KQL и Elastic, QRadar и ArcSight, Chronicle, YARA и другие форматы.
Исходный синтаксис определяется автоматически, поэтому специалисту не требуется заранее указывать тип загружаемого правила.
Выбор ИИ-модели и прозрачность для SOC
Detection Drift поддерживает работу как с локальными, так и с облачными ИИ-моделями. Инструмент может подключаться к модели через OpenCode, облачный API или локальный OpenAI-совместимый endpoint. Это позволяет выбрать подходящий вариант с учётом требований организации к инфраструктуре, безопасности и работе с данными.
Открытый доступ для развития экспертизы
Detection Drift опубликован в открытом доступе на платформе GitVerse. Пользователи могут применять инструмент в собственных сценариях, изучать его работу и дорабатывать под свои задачи.
«Инструмент Detection Drift помогает сократить трудозатраты на перенос и адаптацию правил, беря на себя значительную часть рутинной работы. При этом мы не рассматриваем ИИ как замену экспертизе аналитика. Модель ускоряет процесс, но ответственность за корректность итогового правила и его применение в конкретной инфраструктуре остается за специалистом. Такой подход позволяет получить преимущества автоматизации, сохраняя необходимый уровень контроля», — отметил Борис Нестеров, руководитель группы детектирования угроз R-Vision.
