R-Vision представила инструмент Detection Drift для переноса правил корреляции между SIEM

Компания R-Vision сообщила о разработке инструмента Detection Drift, предназначенного для автоматизации переноса правил детектирования при миграции между SIEM-системами. Решение на базе LLM адаптирует существующие правила из различных SIEM для использования в R-Vision SIEM. Об этом SecPost рассказали в компании.

Инструмент анализирует логику исходного правила, преобразует её в формат R-Vision SIEM и проверяет полученный результат. При обнаружении ошибок или несоответствий Detection Drift учитывает их и запускает следующую итерацию обработки. Количество таких итераций может быть несколько — до получения готового правила.

Отмечается, что при переходе на новую SIEM-систему перенос правил корреляции является одним из наиболее дорогостоящих этапов, так как требует значительных трудозатрат аналитиков и инженеров. Правила в разных SIEM отличаются не только синтаксисом, но и структурой данных, названиями полей и особенностями реализации логики детектирования. Чем больше накопленная база правил, тем выше стоимость и продолжительность миграции.

Продолжение ниже

Detection Drift, как сообщили в компании, работает с распространёнными форматами правил и языками детектирования, включая Sigma, Splunk SPL, MaxPatrol SIEM, KQL, Elastic, QRadar, ArcSight, Chronicle, YARA и другие. Исходный синтаксис определяется автоматически, поэтому специалисту не требуется заранее указывать тип загружаемого правила.

Инструмент поддерживает работу как с локальными, так и с облачными ИИ-моделями. Подключение может осуществляться через OpenCode, облачный API или локальный OpenAI-совместимый endpoint. Это позволяет выбрать вариант с учётом требований организации к инфраструктуре, безопасности и работе с данными.

Detection Drift опубликован в открытом доступе на платформе GitVerse. Пользователи могут применять инструмент в собственных сценариях, изучать его работу и дорабатывать под свои задачи.