AI tahlilchi

Aniqlash unga bog'liq emas

Alertlarni qoidalar, fileless evristika, xulq-atvor bazasi va kill-chain korrelyatsiyasi ko’taradi. Til modeli shu qatlamlar topganini tushuntiradi. Modelni o’chirsangiz ham aniqlash o’zgarmasdan davom etadi.

Qaysi model javob beradi

O’z serveringizda model platforma yonida, alohida xizmatda ishlaydi va o’rnatishda serverga qarab tanlanadi: 6 GB yoki undan katta NVIDIA GPU bilan yoki 16 GB xotira bilan — 7B model; 8 GB bilan — 3B model; undan kam bo’lsa — model yo’q. GPU’da javob soniyalarda keladi; protsessorda ancha uzoqroq, va platforma modelsiz javob berishdan oldin GPU bilan 90, GPU’siz 240 soniyagacha kutadi. Talablar sahifasiga qarang.

Legit AI bulutida hozircha model ishlamaydi: tahlillar modelsiz tuziladi va FALLBACK deb belgilanadi.

Model bo’lmasa, javoblar qoidalar va alertning o’z faktlaridan tuziladi.

Modelni o’zi topadigan qilib sozlangan platforma avval mahalliy modelni, keyin Anthropic yoki OpenAI’ni sinaydi — faqat ular uchun kalit so’rovingiz bilan sozlangan bo’lsa, va air-gap deploymentda hech qachon. Bulut provayder faqat hech bir mahalliy model javob bermaganda sinab ko’riladi, shuning uchun alert ma’lumoti tarmog’ingizdan faqat siz bulut kalitini sozlagan va mahalliy modelingiz ishlamay turgan bo’lsa chiqadi.

Alertda

Alertning AI tahlili yorlig’ida tahlilchining o’qishi bor: hujum ehtimoliy nima ekani, MITRE ATT&CK texnikalari va kill-chain bosqichi, qanchalik shoshilinch ekani, ehtimoliy portlash radiusi, soxta signal bo’lish ehtimoli, tavsiya etilgan choralar va qidiruv so’rovlari.

Yorliq model yozgan bo’lsa LIVE, modelsiz tuzilgan bo’lsa FALLBACK deb belgilanadi. Tahlilni qayta ishga tushirish uchun navbatda R ni bosing — masalan, modelni ishga tushirgandan keyin.

Cipher

Yon menyudagi Cipher — siz gaplashadigan tahlilchi. U javob berish uchun tenantingizning alertlari va tekshiruvlarini o’qiydi va choralar taklif qila oladi. U taklif qila oladigan narsalar qat’iy ro’yxat va har bir parametr shu ro’yxat qoidalari bilan tekshiriladi:

• u o’ylab topgan chora nomi rad etiladi;
• u tilga olgan alert tenantingiz hozir ko’ra oladigan alert bo’lishi kerak — model nima demasin;
• indikatorni boyitish, alertni yangilash, domenni bloklash, Slack, email yoki PagerDuty bildirishnomasi yuborish va Jira chiptasi ochish bosishingiz bilan bajariladi;
• hostni izolyatsiya qilish, IP manzilni bloklash, jarayonni to’xtatish, faylni karantinga olish, sessiyani bekor qilish, ma’lumotlarni almashtirish va forensika yig’ish ADMIN tasdig’ini kutadi, so’ng faqat sinov (dry run) sifatida bajariladi. Mashinada haqiqatan chora ko’rish uchun Izolyatsiya va jarayonni to’xtatish sahifasidagi javob choralaridan foydalaning.

Boshqa joylarda

• Tekshiruvlar → Tushuntirish: faktlarni platforma doskadan yig’adi; model ularni faqat jumlaga soladi. Model bo’lmasa, faktlarni olasiz. Tekshiruvlar sahifasiga qarang.
• Tekshiruvning SOC’dan tashqaridagi odamlar uchun qisqacha rahbariyat xulosasi.
• Fayl skani yoki paket yozuvining oddiy tilda tushuntirilishi.