Opcje
| Opcja | Przepływ danych |
|---|---|
| Model uruchomiony u Ciebie (zalecane) | Dowody z alertów trafiają do endpointu, który sam utrzymujesz, i pozostają w Twojej sieci. |
| Hostowany model zapasowy | Używany tylko wtedy, gdy Twój model jest niedostępny. Działa u wybranego przez Ciebie dostawcy, na Twoim kluczu API. |
| Brak | Workflow nadal działa, a werdykty czekają na analityka. |
Działa każdy endpoint obsługujący API chat completions OpenAI: Ollama, vLLM, llama.cpp, LM Studio albo dostawca komercyjny.
Konfiguracja
Model konfigurujesz w Settings › AI. Te same wartości możesz ustawić przy wdrożeniu w pliku środowiskowym. Funkcje konsoli przełączają się od razu po zapisaniu, a playbooki w ciągu minuty.
- Wybierz tryb: najpierw model u Ciebie z hostowanym zapasowym, tylko model u Ciebie, tylko model hostowany albo wyłączone.
- Wpisz adres URL endpointu i nazwę modelu, a także klucz API, jeśli endpoint go wymaga.
- Opcjonalnie wpisz adres URL, model i klucz hostowanego modelu zapasowego.
- Zapisz i wybierz Test. Konsola wyśle krótki prompt i pokaże wynik oraz czas odpowiedzi.
Osobny model dla funkcji
W sekcji Model per feature możesz przypisać dowolnej funkcji AI osobny model albo wyłączyć dla niej AI. Puste pola dziedziczą ustawienia domyślne. Typowy wybór: mały, szybki model dla agenta polowania w logach, mocniejszy dla werdyktów, a model hostowany tylko tam, gdzie dane mogą opuścić Twoje wdrożenie.
| Funkcja | Gdzie działa |
|---|---|
| Agent polowania w logach | Strona Logs |
| Szkice notatek do reguł | Detections |
| Szkice raportów | Reports |
| Propozycje parserów | Settings › System |
| Werdykt doradczy | Playbooki |
| Agent dochodzeniowy | Playbooki |
| Notatki z triage | Playbooki |
| Podsumowanie zmiany | Powiadomienia |
Liczbę zapytań, które może wykonać dochodzenie, ustawiasz w bloku dochodzenia w playbooku, a nie tutaj.
Wybór modelu
Do werdyktów potrzebny jest model, który dobrze wykonuje ustrukturyzowane polecenia i obsługuje kontekst rzędu kilku tysięcy tokenów. Model średniej wielkości typu instruct na jednej karcie GPU wystarczy dla małego SOC. Obserwuj czas odpowiedzi na stronie alertu i zwiększ zasoby, jeśli werdykty nie nadążają za napływem alertów.
Prywatność
Dowody wysyłane do modelu obejmują pola zdarzeń, które mogą zawierać dane osobowe. Przy modelu uruchomionym u Ciebie te dane pozostają we wdrożeniu. Jeśli korzystasz z modelu u zewnętrznego dostawcy, uwzględnij go w dokumentacji przetwarzania danych. Lista podwykonawców pokazuje, jak FluenceSecurity robi to dla instancji hostowanych.
Twoje dane pozostają Twoje
Twoje dane służą wyłącznie do analizy Twoich alertów. Porady stają się trafniejsze dzięki decyzjom Twoich analityków w konsoli; zobacz Informacja zwrotna.