北京
现代安全运营中心（SOC）每天要处理数百万条安全事件。告警来自终端、云工作负载、网络设备、身份提供商和业务应用，SIEM 与 XDR 平台虽然提供了可见性，但分析师仍要花大量时间关联告警、翻文档、判断下一步查什么。AI 在这里的角色不是替代人，而是补上下文、做摘要、给处置建议。
告警量大带来的直接后果是分析师疲劳，关键事件被漏掉的风险随之上升。一次完整调查往往要在仪表盘、文档、漏洞库和威胁情报源之间来回切换。基础设施越分散——本地加云——维持一致的态势感知就越难。AI 辅助工作流的切入点很明确：减少重复分析、补充上下文、加快调查决策。
Wazuh 的 AI 落地路径
Wazuh 提供两条路：云端订阅用户直接用 Wazuh AI Analyst，自部署用户则通过集成第三方 AI 提供商来扩展能力。
Wazuh AI Analyst 是自动化、免手动的服务，面向 Wazuh Cloud 订阅，安全数据经 Amazon Bedrock 和 Anthropic 的 Claude 处理，无需任何手动配置。它会定期邮件推送关键指标、受保护终端直方图、告警量、活跃漏洞，以及一份态势摘要，并附完整 PDF 报告。报告按订阅的排程生成，也可在 Wazuh Cloud 控制台的 Environments > AI Reports 页面查看。
隐私方面，订阅数据不与第三方共享，也不用于训练 AI 模型，仅用于生成报告，传输加密、处理隔离、不做永久存储。需要提醒的是，AI 输出属于建议性质，执行前应结合自身策略验证。
自托管与外部集成的取舍
对隐私或数据驻留要求严格的团队，可以选择把一切留在自己网络里：Ollama 在 Wazuh 服务器本地运行 Meta 开源的 Llama 模型，Python 脚本解压指定时段的归档日志，向量化存入 FAISS，再由 LangChain 驱动的聊天机器人提供查询。数据不出内网。
另一条路是把 Anthropic 的 Claude 3.5 Haiku（托管于 Amazon Bedrock）通过 OpenSearch Assistant 变成仪表盘里的对话框。配置流程包括在 Bedrock 启用模型、安装相关 OpenSearch 插件、创建 ML Commons 连接器、模型和会话代理。这个助手能就常见任务给出指引，比如某个发现该怎么处理、某些设置该怎么配。
三种形态对应三种诉求：云端订阅要的是开箱即用的定期报告，自托管要的是数据不出门，外部托管集成要的是在现有仪表盘里随手可问。分析师仍然对验证和最终决策负责，AI 承担的是把重复劳动压下去的那部分。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
