R-Vision выпустила Detection Drift — инструмент на базе больших языковых моделей для автоматизации переноса правил детектирования из различных SIEM-систем в R-Vision SIEM, сообщили блогу Игнатий Цукергохер в пресс-службе компании.
Решение анализирует логику исходного правила, адаптирует её под формат и структуру R-Vision SIEM, а затем проверяет результат. Если в ходе валидации обнаруживаются ошибки или несоответствия, Detection Drift учитывает их и запускает следующую итерацию обработки. Цикл может повторяться несколько раз — до формирования рабочего правила.
Зачем нужен инструмент
Миграция правил корреляции часто становится одним из самых затратных этапов перехода на новую SIEM-платформу. Системы отличаются:
- синтаксисом языков детектирования;
- структурой данных;
- названиями и соответствием полей;
- способом реализации логики обнаружения угроз.
Поэтому механической замены конструкций недостаточно: необходимо сохранить смысл исходного правила, адаптировать его к целевой системе и убедиться, что оно корректно работает.
Detection Drift автоматически определяет формат загруженного правила, анализирует его логику и подбирает соответствующую реализацию для R-Vision SIEM. Для более точного сопоставления полей инструмент может использовать примеры событий. Дополнительной базой знаний служат материалы экспертизы вендора в формате ROC с примерами реализации правил.
Поддерживаемые форматы
Инструмент работает с распространёнными форматами и языками детектирования, включая:
- Sigma;
- Splunk SPL;
- MaxPatrol SIEM;
- KQL и Elastic;
- QRadar;
- ArcSight;
- Chronicle;
- YARA;
- другие форматы.
Тип исходного правила определяется автоматически, поэтому специалисту не нужно заранее указывать его формат.
Модели ИИ и контроль данных
Detection Drift поддерживает локальные и облачные ИИ-модели. Подключение возможно через OpenCode, облачный API или локальный OpenAI-совместимый endpoint.
Такой вариант развёртывания позволяет выбрать модель с учётом требований к безопасности, инфраструктуре и обработке данных. Для SOC-команд важна и встроенная проверка результата: итоговое правило не просто генерируется, а проходит автоматическую валидацию с возможностью повторной доработки.
Detection Drift опубликован в открытом доступе на платформе GitVerse. Пользователи могут изучать код, применять инструмент в собственных сценариях и адаптировать его под задачи организации.
«Инструмент Detection Drift помогает сократить трудозатраты на перенос и адаптацию правил, беря на себя значительную часть рутинной работы. При этом мы не рассматриваем ИИ как замену экспертизе аналитика. Модель ускоряет процесс, но ответственность за корректность итогового правила и его применение в конкретной инфраструктуре остается за специалистом. Такой подход позволяет получить преимущества автоматизации, сохраняя необходимый уровень контроля»
Борис Нестеров, руководитель группы детектирования угроз R-Vision
