SIEM на двух ядрах для 150 хостов и 9B модель на триаже: как устроен самописный AI SOC

[Sergey-S-Kovalev]

Вопросы сходу:

• Как мониторить таким методом коробочные решения?

• Трудозатраты на развертывание и поддержку агентов на всех эндпоинтах? А если эндпоинты разнородные? Как организовать ротацию API ключей для каждого хоста, так что бы корпоративный Vault не грустил вместе с девопсами?

• Мы не покупаем серваки за миллионы что бы развернуть там SIEM (тут вроде экономия), но откуда возьмём миллионы на то что бы вертеть эти 9B модели или денежки на токены для этих моделей (тут нет экономии, а в текущих реалиях - только боль)?

• Сколько дополнительных дыр мне нужно проковырять в фаерволлах хостов, NGFW, вланах, врфах и прочих местах, что бы эти агенты общались с LLM?

• Сколько серверов мне понадобится, что бы сохранять размышления этих агентов для последующего анализа, если что то пойдет не так?

• Попытка смены модели непрогнозируемо приводит к скачкам нагрузки на LLM-кластер, добавление новых хостов тянет за собой добавление новых ресурсов для LLM. Кто готов подписаться под то, что события не дойдут до SIEM?

• Как быть с хостами на которых события идут тысячами в секунду? Где взять сервера с LLM которые их проглотят? Взять в аренду B200 за 400к в день? =)

Вроде идея сама по себе неплохая, может даже логичная, но в текущих реалиях железобетонная жопа реальности никуда не делась.

[Ka463]

Как быть с хостами на которых события идут тысячами в секунду? 

Мне стало интересно, а кто у вас сейчас этим занимается ? кто разбирает эти тысячи ?

[Sergey-S-Kovalev]

SIEM и разбирает, все как и у всех сейчас, кластер серверов принимает/собирает, нормализует, коррелирует события. Если что то новое чего нет в пакетах вендора и то что еще не описали SOC-спецы - то под анализ LLMкой и доразбору командой SOC. В начале проекта ожидаемый поток выше физ возможностей людей, потом SOC спецы набивают руку и дописывают не хватающие правила и все становится штатно и обычно.

[Asken961]

1. У тебя каждого коробочного решения имеется либо своя API (что является стандартом в целом) в рамках которых ты просто собираешь.

2. Используется похожий метод как у AD PXE метод загрузки по сети, с дальнейшей установкой слоя внутри OC (вплоть до ядра), плюс втупую установщик и так далее.

3. 9B модели запускаются на видеокарте за 50 тысяч рублей.

4. Да не надо никаких дыр, зачем? У тебя рядом с сервер обработчиком появляется на порте сервис который зацикливает это все и оно спокойно работает, если нужно больше ресурсов или тротлить начинает, просто делаешь один выделенный кластер.

5. Не сильно больше чем хранение логов, ибо это уже очищенное рассуждение. Плюс это холодное хранилище, там нет каких то медиафайлов которые много весят, поэтому я бы сказал прям недорого бы это вышло. Плюс AI SOC внедряется повсеместно не только в межнаре, но и в РФ, поэтому проблема известная и все с ними считаются.

6. Инженер который это будет внедрять? Чем это отличается от классического SIEM и использование его?

7. Ну тут два варианта, если события идут тысячами в секунду, я примерно замерял сроки реагирования в SOC в день на одного человека, выходило усредненно около 20 минут на 1 алерт, чтобы его отследить, то есть 36 алертов в день при 12 часовой смене, в среднем может рассмотреть соковец (не скипнуть протыкав его, а именно сесть и разобраться, за 20 минут не делал никаких прям официальных замеров и так далее, собственные наблюдения и в разных исследованиях в целом это подтверждают), представим у нас соковец супермен, он может за 3 минуты рассмотреть 1 алерт, то есть 240 алертов в день, при нагрузке 1 тысяча алертов в секунду, у вас выходит 86 400 000 алертов в сутки, чтобы их проверить, все отсмотреть и так далее, нужно 720 000 суперменов (2 на 2 график), представим что у них средняя зарплата минимальный прожиточный минимум 15 719 (зарегестрирован в Липецкой области), чтобы они работали, нужно им платить зарплату (без налогов и так далее) 11 317 680 000, это чутка буквально дороже чем стоимость чем 1 кластер b200 за 400 к в день, в 943 раза. Второй вариант, отрубаем ИИ, отказываемся от использования новых технологий и общаемся с помощью почтовых голубей.

[Sergey-S-Kovalev]

1. Т.е. мы всетаки в коробку ходим снаружи, что как бы немного противоречит концепции работы агента на хосте. А хост это где? Железяка? Гипервизор? ОС? Кубер? Контейнер? ОС в контейнере? Конечное приложение?

2. Очень смешно (нет).

3. Тоже очень смешно, видеокарта висящая в вакууме и крутящая LLM для одного хоста? =) умножить на количество хостов, все верно? =) обвязка то откуда у видяхи возьмётся? плюс стойкоместо/электричество/охлад/коммутация/обслуживание.

4. Ничего не понял, особенно как мне собрать кластер из сотен точек присутствия с десятками хостов в каждой по всей стране.

5. Я не против внедрения AI SOC, но прихожу в ужас от концепта агентов в хостах, которые помимо продовой нагрузки еще там будут ко LLM все время ходить (не говоря уже про обработку и конвертацию того на что правила уже есть). И сколько всего нужно будет добавить (купить/арендовать), замониторить, обслуживать - что бы потом пафосно рассказывать про AI SOC.

6. Отличается дополнительной точкой отказа, когда событие ушло, а агент его не смог в нужное время переварить потому что был занят или LLM долго отвечала. И в итоге ничего до SIEM не дошло.

7. Вы точно вопрос смогли прочитать? Вопрос был в том, какой вычислительный кластер с LLM понадобится (на самом деле сколько он будет стоить) что бы переварить тысячи событий от одного хоста.

Вот мы тут дискутируем, а судя по выжимке ИИ из видоса, там вначале попиарили подход с агентами на хостах (как будто там EDR агентов мало было), и не ответив на все животрепещущие тут нас вопросы ушли в обычное обмусоливание как защититься от вредоносных промтов, есть ли жизнь у soc-спецов после прихода ИИ и возможность переписать все легаси.

А надо то всего лишь наладить процесс анализа для выделения того, на что soc-спецы должны в первую очередь обратить внимание в текущий момент. Но понимаю, что это не такой впечатляющий AI-driven подход.

[Asken961]

1. Вопрос был про работу с коробочным решением, если рассматривать конкретное коробочное решение, где оно имплементировано, то от этого и будет решаться.

2. Хорошо.

3. Обвязка на что? Где я писал про линейную прогрессию? Вопрос был просто стоимость запуска модели 9B и откуда взять на это ресурсы, на что был дан ответ.

4. Сейчас сиемы коллектят все события на 1 сервер обработчик, здесь тоже самое, также на один сервер обработчик, ничего не поменялось в схеме сети.

5. Зачем ей ходить в LLM? Обработка на конечных хостах работает также как и обычно, LLM только распаршивает вывод и делает небольшой сигнатурный анализ события и предлагает соковцу удобоваримый способ восприятия информации (на сколько он удобоваримый и так далее это вопрос для другой дискуссии).

6. Очереди? Ну тип это не ноу хау решение такой проблемы, берется очередь, если у нас тротлит постоянно (о чем я и написал) то докупаем мощности.

7. Вопрос был:

   • Как быть с хостами на которых события идут тысячами в секунду? Где взять сервера с LLM которые их проглотят? Взять в аренду B200 за 400к в день? =)
     

     Из него я не вижу вопрос какой нужен сервер, вопрос был про аренду, почему B200 за 400 к в день и тысячей событий, актуализируйте пожалуйста вопрос, чтобы не нужно было догадываться между строк, что имел в виду автор.

   
   Также в выжимке ИИ из видоса, было сказано, что будет следующая часть, где обсудятся следующие вопросы, ибо часового формата, для обсуждения построения сиема с нуля крайне мало. Да и в целом такого вопроса не было для обсуждения, верхнеуровнего было накидано про концепцию, как решается и почему по моему мнению этот подход лучше. Плюс про AI-driven вопрос, в статье (да и в подкасте) как раз таки говорится, что перекладывать решения на ИИ это плохой подход в любом случае и исследования и собственные наработки это подтверждают, AI-SOC должен уменьшать количество времени для принятия решения и быть удобоваримым для использования. Если у вас есть много вопросов которые стоит обсудить, закиньте их сюда, постараемся в следующий раз с Сергеем их обсудить (если он конечно не будет против), но цель подкаста не было построение AI SOC или SIEM с нуля.