Wazuh ve Yapay Zekâ ile Geliştirilen SOC İş Akışları.

Görsel Kaynağı: The Hacker News

Sun yapay zekâ (SYZ), bu onyılın belirleyici teknolojilerinden birine dönüştü. Sağlık, finans, imalat ve eğitimden siber güvenliğe kadar kuruluşlar, tekrarlayan görevleri otomatikleştirmek, büyük veri setlerinin içinde gizli kalıp desenleri ortaya çıkarmak ve daha hızlı karar vermeyi desteklemek için artan ölçüde SYZ’ye güveniyor. Siber güvenlik de benzer bir dönüşüm yaşadı. Saldırganlar siber saldırıları otomatikleştirmek ve açıkların keşfini hızlandırmak için SYZ kullanırken, savunucular tehdit algılamayı iyileştirmek ve olay müdahalesini güçlendirmek için SYZ benimsiyor.

Siber Güvenlik Operasyon Merkezleri (SGOM’lar), uç noktalardan, bulut yüklerinden, ağ cihazlarından, kimlik sağlayıcılarından ve işletme uygulamalarından yüksek hacimli uyarıları karşılar. SIEM ve XDR platformları bu ortamlarda görünürlük sağlasa da, analistler genellikle uyarıları ilişkilendirmek, belgeleri taramak ve sonraki soruşturma adımlarını belirlemek için önemli ölçüde zaman harcar. SYZ, insan uzmanlığını yerine koymak yerine, bağlamsal açıklamalar sağlayarak, bulguları özetleyerek ve düzeltme önerileri sunarak analistleri desteklemenin pratik bir yolunu sunar.

Modern SGOM’ların karşılaştığı zorluklar

Modern SGOM’lar, her milyonlarca güvenlik olayını işlerken gelişmiş tehditleri algılamayı ve bunlara müdahale etmeyi bekler. Yüksek uyarı hacimi, analist yorgunluğuna yol açar ve kritik olayların atlanma olasılığını artırır. Soruşturmalar, kapsamlı bir tablonun ortaya çıkmasından önce genellikle panolar, belgeler, açıklar veritabanları ve tehdit istihbarı beslemeleri arasında geçiş yapmayı gerektirir. Altyapılar giderek artan biçimde yerel (on-premises) ve bulut ortamlarına dağıldıkça, tutarlı durum farkındalığını korumak daha da zorlaşır. SYZ destekli iş akışları, tekrarlayan analizleri azaltarak, bağlam ekleyerek ve soruşturma temelli karar vermeyi hızlandırarak bu zorlukların üstesinden gelmeye yardımcı olur.

Gelişmiş SGOM iş akışları için Wazuh ve sun yapay zekâ

Wazuh, Wazuh Cloud üzerinde erişilebilir Wazuh AI Analyst ve üçüncü taraf AI sağlayıcılarıyla entegrasyonlar aracılığıyla esnek bir yapay zekâ benimsemeyi destekler. Kurumlar, ortam güvenlik durumları hakkında yol gösteri almak için Wazuh Cloud üzerindeki Wazuh AI Analyst özelliğini kullanabilir. Wazuh’u kendi kendine dağıtan kurumlar ise Wazuh’un AI sağlayıcılarıyla yaptığı entegrasyonlardan yararlanabilir. Aşağıdaki bölümler bu konulara dair ek ayrıntılar sunmaktadır:

Wazuh AI Analyst

Wazuh AI Analyst otomatik ve müdahalesiz bir işleyişe sahiptir. Wazuh Cloud abonelikleri için bir yapay zekâ destekli güvenlik analiz hizmeti olarak, güvenlik verilerinizi Amazon Bedrock ve Anthropic’in Claude üzerinden işleyerek herhangi bir manuel yapılandırma gerektirmeden içgörüler sunar. Belirli aralıklarla ana göstergeleri, korunan uç noktaların histogramını, uyarı hacmini, aktif açıkları ve tam bir PDF raporu ekli bir güvenlik durumu özetiyle birlikte e-postayla gönderir.

Raporlar, Wazuh Cloud aboneliğinizin belirlediği zamanlamaya göre üretilir ve kayıtlı e-posta adresinize düzenli olarak iletilir. Bunları aynı zamanda Wazuh Cloud konsolundan Ortamlar > AI Raporları sayfasında da görüntüleyebilirsiniz.

Gizlilik açısından, abonelik verileri üçüncü taraflarla paylaşılmaz ve yapay zekâ modellerini eğitmek için kullanılmaz; yalnızca raporlarınızın üretilmesi amacıyla, şifreli iletim, izole işleyiş ve kalıcı olmayan depolama ile işlenir. Herhangi bir yapay zekâ çıktısında olduğu gibi, öneriler danışma niteliğindedir ve harekete geçmeden önce kendi politikalarınızla doğrulanması gerekir.

Dış AI entegrasyonlarıyla tehdit avcılığı ve güvenlik operasyonları

Wazuh AI Analyst’in ötesinde, Wazuh yeteneklerini kendi barındırdığınız bir LLM ve ihtiyaçlarınıza göre uyarlanmış, dışarıdan yönetilen AI entegrasyonlarıyla genişletebilirsiniz.

Kendi barındırdığınız Llama 3 ve Ollama

Bu entegrasyon, her şeyin kendi ağınızda kalmasını sağlar. Ollama, Meta’ya ait açık kaynaklı Llama LLM’yi Wazuh sunucusunda yerel olarak çalıştırır; bir Python betiği, seçilen bir dönem için arşivlenmiş günlükleri sıkıştırma dışına çıkarır, bunları FAISS deposunda vektörleştirir ve sorgulanabilen LangChain destekli bir sohbet botu sunar. Bulut sağlayıcısına hiçbir veri gönderilmez; bu da onu katı gizlilik veya veri yerelleştirme (data-residency) gereksinimlerine sahip ekipler için uygun kılar.

Görsel Kaynağı: The Hacker News

Tüm kurulum adımları Wazuh blog gönderisinde yer alıyor: Wazuh’da tehdit avcılığı için yapay zekânın kullanımı.

Claude 3.5 Haiku ile dışarıdan yönetilen entegrasyon

Bu entegrasyon, Anthropic’in Claude 3.5 Haiku modelini, Amazon Bedrock üzerinde barındırılan, OpenSearch Asistanı aracılığıyla panoda bir sohbet kutusu olarak ortaya çıkarır. Kurulum, Bedrock üzerinde modelin etkinleştirilmesini, ilgili OpenSearch eklentilerinin kurulmasını ve bir ML Commons bağlayıcısı, modeli ve konuşmacı ajanın oluşturulmasını içerir. Asistan, bir bulguyla ne yapılacağı ve belirli ayarların nasıl yapılandırılacağı dahil olmak üzere birçok yaygın görev için faydalı yönlendirme sağlayabilir.

Görsel Kaynağı: The Hacker News

Tüm kurulum adımları Wazuh blog gönderisinde yer alıyor: LLM destekli içgörüleri kullanmak için Wazuh panosunda Claude Haiku.

Sonuç

Yapay zekâ, modern SOC’larda önemli bir yetenek haline geliyor. Analistlerin yerini almak yerine, tekrarlayan işleri azaltabilir, soruşturmaları hızlandırabilir ve tespit, önceliklendirme ve müdahale faaliyetleri için bağlamsal destek sağlayabilir. Bu yetenekler, güvenlik ekiplerinin analistlerin doğrulama ve sonuçlandırıcı kararlar alma sorumluluğunu koruyarak daha verimli çalışmasına yardımcı olabilir.

Wazuh Cloud kullanıcıları için Wazuh AI Analyst; kritik göstergeler, uyarı faaliyeti, uç nokta kapsamı, aktif açıklar ve genel güvenlik durumu gibi konuları kapsayan otomatik ve zamanlanmış güvenlik raporları sunar. Kurumlar, gizlilik açısından hassas tehdit avlığı için kendi barındırdıkları LLM entegrasyonları veya bulut tabanlı, dışarıdan yönetilen modeller aracılığıyla yapay zekâ destekli güvenlik operasyonlarını daha da özelleştirebilir; bu sayede benimseme sürecini operasyonel, gizlilik ve veri yerleşimi gereksinimleriyle uyumlu hale getirebilir.