ИИ-аналитик
Что делает ИИ в Legit AI, какая модель отвечает, как отличить ответ модели от резервного текста и чего он никогда не может сделать сам.
Какая модель отвечает
Заголовок раздела «Какая модель отвечает»На вашем сервере модель работает рядом с платформой, в своей службе, и выбирается при установке по серверу: модель 7B — с GPU NVIDIA на 6 ГБ и больше или с 16 ГБ памяти; модель 3B — с 8 ГБ; меньше — без модели. На GPU ответ занимает секунды; на процессоре — гораздо дольше, и платформа ждёт до 90 секунд с GPU и до 240 без него, прежде чем ответить без модели. См. Требования.
В облаке Legit AI модель пока не работает: анализ строится без неё и помечается FALLBACK.
Без модели ответы строятся из правил и собственных фактов алерта.
Платформа, настроенная искать модель сама, сначала пробует локальную модель, затем Anthropic или OpenAI — только если ключ для них настроен по вашей просьбе, и никогда в air-gap развёртывании. Облачный провайдер пробуется только тогда, когда не отвечает ни одна локальная модель, поэтому данные алерта покидают вашу сеть, только если вы настроили облачный ключ и локальная модель недоступна.
На алерте
Заголовок раздела «На алерте»Вкладка Анализ ИИ алерта содержит прочтение аналитика: на какую атаку это похоже, техники MITRE ATT&CK и стадия kill chain, срочность, вероятный радиус поражения, вероятность ложного срабатывания, рекомендуемые действия и запросы для охоты за угрозами.
Вкладка помечена LIVE, если её написала модель, и FALLBACK, если она собрана без модели. Нажмите R в очереди, чтобы запустить анализ заново — например, после запуска модели.
Cipher в боковом меню — аналитик, с которым вы говорите. Чтобы ответить, он читает алерты и расследования вашего тенанта и может предлагать действия. То, что он может предложить, — фиксированный список, и каждый параметр проверяется по правилам этого списка:
- выдуманное им имя действия отклоняется;
- алерт, на который он ссылается, должен быть виден вашему тенанту сейчас, что бы ни утверждала модель;
- обогащение индикатора, обновление алерта, блокировка домена, уведомление в Slack, по email или в PagerDuty и создание задачи Jira выполняются по нажатию;
- изоляция хоста, блокировка IP-адреса, завершение процесса, карантин файла, отзыв сессии, смена учётных данных и сбор криминалистики ждут одобрения ADMIN, а затем выполняются только как пробный запуск (dry run). Чтобы действовать на машине по-настоящему, используйте действия из раздела Изоляция и завершение процессов.
В других местах
Заголовок раздела «В других местах»- Расследования → Объяснение: факты собирает платформа с доски; модель только формулирует их. Без модели вы получите факты. См. Расследования.
- Краткая сводка расследования для людей вне SOC.
- Объяснения простым языком для сканирования файла или захвата трафика.