soc.
SIEM на двух ядрах для 150 хостов и 9 B‑модель на триаже: как устроен самописный AI SOC
Представьте SOC, где языковая модель разбирает каждое сработавшее правило. В идеальных условиях она верно обрабатывает около 60% событий второй линии. Оставшиеся 40% — ложные срабатывания и пропуски, и автоматически реагировать на такой выход нельзя. Команда Александра Кельчина, CTO и CISO Medici Lab, пришла к этой цифре на собственных экспериментах. Потом они перестроили SIEM так, что модель на 9 миллиардов параметров стала давать 96–97% хороших ответов, а вся система держала 150 хостов на двух ядрах CPU.
Как я учил ИИ-агента работать на первой линии SOC: четыре этапа BlueSec1 глазами участника
Привет, Хабр. Девять лет я живу в мире управления уязвимостями, а не в центре мониторинга. Тревоги по работе не разбираю, плейбуки реагирования не пишу, справедливости ради конечно, я примерно 4 года назад занимался продуктом класса SIEM. И вот осенью я записался на соревнование, где надо было собрать ИИ-агента, который разбирает тревоги вместо аналитика первой линии.Коллеги-организаторы уже рассказали про соревнование со своей стороны - вот их статья на Хабре
Восемь допущений о безопасности, которые ИИ-агенты тихо ломают
Если вы читаете Ethics.Dev, то наверняка заметили, сколько в последнее время историй, где ИИ-агенты сталкиваются с кибербезопасностью. Некоторые звучат как сценарий фильма: агенты выбираются из тестовых окружений, переговариваются по каналам, которые для этого никто не предназначал, находят уязвимости, крадут учётные данные и добираются до продакшена.
Проектирование мониторинга информационной безопасности: от хаоса к системности
В эпоху цифровизации и постоянно растущих киберугроз мониторинг информационной безопасности перестал быть просто «хорошим тоном» — он стал критическим элементом защиты бизнеса. Однако как показывает практика, создание эффективной системы мониторинга в рамках Security Operations Center (SOC) может превратиться в хаотичный процесс, перегруженный дорогими инструментами, но не дающий ожидаемых результатов. Почему так происходит? Все из-за того, что многие компании подходят к задаче с позиции «купить все и сразу», забывая о главном — целях и балансе.
Innostage обновила платформу ИИ‑агентов для автоматизации SOC — Innostage TDIR 1.5.1
Innostage объявляет о выходе версии 1.5.1 решения Innostage TDIR Интеллектуальная автоматизация расследования инцидентов ИБ (далее по тексту — Innostage TDIR), предназначенного для интеллектуальной автоматизации деятельности центров мониторинга и реагирования на инциденты информационной безопасности (SOC). Innostage TDIR — российское on‑premise решение класса Agentic SOC. Оно усиливает SIEM/SOAR‑системы посредством автономных ИИ‑агентов, которые расследуют инциденты, фильтруют ложные срабатывания и проводят историческую корреляцию, помогая аналитикам SOC преобразовать рутинную работу в автономный процесс.
Innostage TDIR. Интеллектуальная автоматизация расследования инцидентов ИБ обновлен до версии 1.0.0
Компания Innostage существенно обновила Innostage TDIR — решение для интеллектуальной автоматизации деятельности центров мониторинга и реагирования на инциденты информационной безопасности (SOC). Версия 1.0.0 получила множество улучшений, касающихся интеграции с SOAR, генерации запросов в SIEM, проверки инцидентов и рекомендациям по реагированию, взаимодействия с ИИ-чатом и другие.
Архитектурный паттерн «LangGraph, гибридный RAG + Сигнатурный движок»: универсальный граф для потоковых данных
В чем проблема?При обработке больших потоков неструктурированного текста разработчики обычно выбирают один из двух путей:Первый — использовать детерминированные методы. Регулярки, сигнатуры, и подобные инструменты работают быстро. Вот только никак не поймают новые, ранее не описанные паттерны. Путь второй — скармливать сырые данные в ЛЛМ напрямую. В реальности этот подход быстро умирает. Отправлять огромные объемы нефильтрованного текста в языковые модели слишком дорого и медленно.
Локальный запуск LLM для SOC: сколько инцидентов обработает одна GPU? Часть 2
Всем привет! На связи Сергей Иванов, аналитик технологий машинного обучения R‑Vision.В первой части эксперимента мы выяснили, как на производительность локальной LLM влияют длина контекста, количество параллельных запросов и объем генерируемого ответа. Стресс‑тесты позволили определить границы конфигурации Qwen3.5–122B‑A10B‑GPTQ, vLLM и NVIDIA RTX PRO 6000 Blackwell Max‑Q с 96 GB видеопамяти.
Локальный запуск LLM для SOC: сколько GPU действительно нужно?
Всем привет! На связи Сергей Иванов, аналитик технологий машинного обучения R-Vision.Когда речь заходит о локальном запуске больших языковых моделей, обычно первым возникает вопрос стоимости инфраструктуры: «Self-hosted LLM — это десятки или сотни GPU?». Для обучения foundation-моделей или публичных сервисов с миллионами пользователей это действительно так. Но применение LLM внутри SOC устроено иначе.
