R-Vision представил Detection Drift – инструмент на базе LLM для автоматизации переноса правил детектирования. Решение помогает адаптировать существующие правила из различных SIEM-систем для использования в R‑Vision SIEM.
Detection Drift анализирует логику исходного правила, преобразует её в формат R‑Vision SIEM и проверяет полученный результат. Решение обладает механизмом обратной связи: если при проверке обнаруживаются ошибки или несоответствия, он учитывает их и запускает следующую итерацию обработки. Таких итераций может быть несколько - до получения готового правила.
Перенос логики вместо ручного переписывания правил
При переходе на новую SIEM-систему перенос правил корреляции становится одним из наиболее дорогостоящих этапов, так как требует значительных трудозатрат аналитиков и инженеров.
Правила в разных SIEM отличаются не только синтаксисом, но и структурой данных, названиями полей и особенностями реализации логики детектирования. Поэтому простой замены конструкций одного языка на другой недостаточно: необходимо сохранить исходную логику правила и корректно адаптировать её под устройство целевой системы, а после проверить его работу и при необходимости доработать. Чем больше накопленная база правил, тем выше стоимость и продолжительность миграции.
Detection Drift автоматизирует этот процесс. Инструмент определяет исходный формат правила, анализирует заложенную в нём логику обнаружения угроз и адаптирует её под структуру R‑Vision SIEM.
Для более точного сопоставления полей Detection Drift может анализировать примеры событий. В качестве дополнительной базы знаний можно использовать существующую экспертизу вендора в формате .roc с релевантными примерами реализации правил.
Автоматическая проверка результата
Сформированное правило проходит встроенную валидацию до того, как будет выдан итоговый результат. Если валидатор обнаруживает неточности, Detection Drift автоматически запускает повторную итерацию правила с учётом выявленных ошибок.
Поддержка разных источников экспертизы
Detection Drift работает с распространёнными форматами правил и языками детектирования, среди которых: Sigma, Splunk SPL, MaxPatrol SIEM, KQL и Elastic, QRadar и ArcSight, Chronicle, YARA и другие форматы.
Исходный синтаксис определяется автоматически, поэтому специалисту не требуется заранее указывать тип загружаемого правила.
Выбор ИИ-модели и прозрачность для SOC
Detection Drift поддерживает работу как с локальными, так и с облачными ИИ-моделями. Инструмент может подключаться к модели через OpenCode, облачный API или локальный OpenAI-совместимый endpoint. Это позволяет выбрать подходящий вариант с учётом требований организации к инфраструктуре, безопасности и работе с данными.
Открытый доступ для развития экспертизы
Detection Drift опубликован в открытом доступе на платформе GitVerse. Пользователи могут применять инструмент в собственных сценариях, изучать его работу и дорабатывать под свои задачи.
Инструмент Detection Drift помогает сократить трудозатраты на перенос и адаптацию правил, беря на себя значительную часть рутинной работы. При этом мы не рассматриваем ИИ как замену экспертизе аналитика.
Модель ускоряет процесс, но ответственность за корректность итогового правила и его применение в конкретной инфраструктуре остается за специалистом. Такой подход позволяет получить преимущества автоматизации, сохраняя необходимый уровень контроля.
