Selectel показала, как за 2 часа добавить LLM-ассистента в Wazuh SIEM

Wazuh SIEM, это система сбора и анализа событий безопасности с открытым кодом. Её дашборд построен на OpenSearch Dashboards, а у OpenSearch есть готовый ассистент, OpenSearch Assistant. В штатную поставку Wazuh он не входит, но ставится плагинами той же версии без переделки самого Wazuh. Именно эту связку и описывает инструкция Selectel.

Публикация примечательна тем, что это не абстрактный концепт, а проверенный на конкретной версии рецепт с командами, конфигами и разбором подводных камней.

Три инструмента, которые появляются после настройки

• Окно чата. Аналитик SOC (центра мониторинга безопасности) задаёт вопрос обычными словами и получает ответ от языковой модели. Не нужно помнить синтаксис запросов.
• Query Assist в Discover. Вопрос на естественном языке автоматически превращается в запрос на PPL (Piped Processing Language, язык запросов OpenSearch), а результат открывается привычной таблицей.
• Кнопка Explain Document. Модель разбирает конкретный алерт (предупреждение о потенциальной угрозе) или запись об уязвимости: что произошло, насколько серьёзно и что проверить дальше.

Как всё устроено внутри?

Вопрос аналитика проходит три звена. Плагины дашборда рисуют интерфейс, но сами ничего не вычисляют, а передают вопрос в индексатор.

Плагин ml-commons в индексаторе хранит подключение к модели и агентов. ИИ-агент (автономный сценарий работы) получает промпт (текстовую инструкцию для модели), вызывает инструмент PPLTool, который просит модель составить запрос и сам его выполняет.

Модель работает отдельно. Индексатор обращается к ней по HTTPS через коннектор, объект с адресом, форматом запроса и правилом разбора ответа. Подойдёт любая модель с OpenAI-совместимым API. В инструкции использована qwen3-next-80b за OpenWebUI.

Как попробовать?

1. Убедитесь в совместимости версий. Инструкция проверена на Wazuh 4.14.7 с OpenSearch 2.19.5. Версии плагинов должны точно совпадать с версией OpenSearch, иначе плагин не загрузится. Узнать свою версию можно запросом GET / в Dev Tools дашборда (поле version.number).
2. Подготовьте окружение. Вам понадобятся: адрес API модели, имя модели и токен; root-доступ к серверу с индексатором и дашбордом Wazuh; для кнопки Explain Document, машина с Linux, Docker, 8 ГБ оперативной памяти и доступом к GitHub и npm.
3. Установите плагины. Скачайте официальные сборки OpenSearch и OpenSearch Dashboards нужной версии (архивы около 1,3 ГБ), распакуйте из них пять плагинов (два для индексатора, три для дашборда) и подключите через тома в docker-compose.yml или копированием в каталоги сервисов.
4. Настройте коннектор, агентов и кнопку. Полная последовательность команд для Dev Tools с конфигами и промптами приведена в оригинальной статье Selectel.

Wazuh SIEM и российские альтернативы

Wazuh SIEM с открытым кодом (опенсорс) популярна в России, потому что бесплатна и не зависит от зарубежных лицензий. Среди коммерческих российских SIEM-систем известны MaxPatrol SIEM от Positive Technologies и KUMA от «Лаборатории Касперского». Они поставляются с собственной аналитикой, но встроенного LLM-ассистента с чатом на естественном языке пока не предлагают.

Для тех, кто уже работает с Wazuh SIEM, описанный подход ценен тем, что не требует миграции: вы добавляете интеллектуальный слой поверх существующей инфраструктуры.

Что с этого разным специалистам?

Автору на Дзене или контент-маркетологу. Если вы пишете про кибербезопасность или DevOps, эта связка Wazuh SIEM плюс LLM даёт конкретный кейс для статьи: «как мы за два часа научили систему отвечать по-русски на вопросы про инциденты».

Системному администратору или аналитику SOC. Порог входа в Wazuh SIEM резко снижается. Новый сотрудник, который не знает полей индекса, сможет получить разбор алерта одной фразой. Инструкция полностью на русском, все команды приведены.

Предпринимателю и руководителю в РФ. Решение бесплатно, работает на своём сервере, данные не уходят наружу (модель можно развернуть локально). Для компании, у которой уже стоит Wazuh, это способ ускорить реакцию на инциденты без покупки новой SIEM.

Частые вопросы

Нужно ли платить за OpenSearch Assistant?

Нет. Все плагины входят в открытую сборку OpenSearch и распространяются бесплатно. Вам нужна только своя языковая модель с OpenAI-совместимым API, которую тоже можно развернуть локально и бесплатно.

Будет ли работать с версией Wazuh, отличной от 4.14.7?

Инструкция привязана к OpenSearch 2.19.5, который идёт внутри Wazuh 4.14.7. Если у вас другая версия Wazuh, нужно заменить номер версии во всех командах на свой. Главное правило: версия плагинов должна точно совпадать с версией OpenSearch, иначе плагин не загрузится.

Данные уходят во внешние сервисы?

Это зависит от того, какую модель вы подключите. Если развернёте модель на своём сервере, логи и запросы не покинут ваш периметр. Если используете облачный API, запросы пойдут через интернет, и это нужно учитывать с точки зрения политики безопасности.

Инструкция Selectel закрывает конкретный пробел: Wazuh SIEM отлично собирает данные, но до сих пор требовала эксперта для каждого вопроса, а теперь экспертом становится модель, и аналитику достаточно уметь формулировать мысль по-русски.