В Selectel автоматизировали первичный разбор инцидентов ИБ с помощью локальной LLM, RAG и валидатора. Это позволило снизить нагрузку на L1-аналитиков, сократить время на проверку ложных срабатываний и уменьшить риск ошибок из-за усталости.
Новый подход применяется для анализа однотипных инцидентов, которые часто оказываются ложными срабатываниями. Система обогащает алерт контекстом и документирует результат, освобождая аналитиков для решения более сложных задач.
ⓘ Что такое RAG
RAG (Retrieval-Augmented Generation) — это подход к работе с большими языковыми моделями (LLM), который позволяет улучшить качество ответов за счёт извлечения информации из внешних источников. Модель сначала находит релевантные данные, а затем использует их для генерации ответа, что повышает точность и актуальность информации.
if (v.validation_result === "confirmed") {
// Валидатор согласен с решением модели, ничего не меняем
finalResult = {
final_severity: l1.severity, // значение от L1
final_true_positive: l1.true_positive, // значение от L1
final_decision: l1.l1_decision, // решение от L1
final_escalate_to_l2: l1.escalate_to_l2 || false,
validation_status: "confirmed",
agreement_score: v.agreement_score,
human_review_required: false
};
} else if (v.validation_result === "corrected") {
…Источники: Selectel · Хабр / ИБ
@cbunit
