Современные SOC-системы формируют значительный объём алертов, при этом доля ложных срабатываний (false positives) приводит к перегрузке аналитиков и увеличению времени реагирования на реальные инциденты. Проект направлен на разработку и исследование автономного программного модуля, интегрируемого с SIEM-системами (к примеру ELK SIEM), который выполняет автоматический сбор дополнительного контекста (системные логи и метаданные Linux через osquery), корреляцию событий и последующий семантический...Подробнее

Разработка и исследование прототипа программного модуля, интегрирующего систему оповещений SIEM с локальной LLM-моделью для анализа и оценки инцидентов информационной безопасности, с последующей экспериментальной оценкой его эффективности по снижению нагрузки на аналитиков SOC.

Еженедельные отчёты о прогрессе разработки в виде кода и результатов экспериментов (Git-репозиторий). Регулярные встречи с руководителем проекта с демонстрацией промежуточных результатов и обсуждением корректности принимаемых решений. Тестовые демонстрации отдельных функций (приём алертов, сбор логов, интеграция LLM, анализ инцидентов). Проведение экспериментального тестирования прототипа с использованием метрик precision, recall и F1-score по отдельным типам угроз, а также анализа времени...Подробнее

Исследовательский прототип программного модуля с документацией и инструкцией по запуску. Технический отчёт о реализации и экспериментальном тестировании. Техническая документация.

Локальная вычислительная система с GPU уровня RTX 5080 (не менее 16 GB VRAM), 64 GB RAM с высокой частотой. Тестовый полигон на базе изолированной облачной инфраструктуры с виртуальными машинами Linux для эмуляции SOC-окружения и обработки журналов событий. ОС Linux / macOS с Python 3.11+. Библиотеки Python: transformers, bitsandbytes, torch, osquery, requests. Локальные модели LLM (LLaMA 2 13B Q8 / Foundation-Sec-8B). Docker, GitLab, VS Code, средства виртуализации.

Проработана верхнеуровневая архитектура взаимодействия SOC ↔ автономный модуль ↔ LLM. Изучены принципы формирования алертов в ELK SIEM и структура журналов событий Linux. Проведен поверхностный анализ представленных на рынке открытых LLM-моделей и их возможности анализировать журналы событий.