ЛОКАЛЬНА ПЛАТФОРМА З ВІДКРИТИМ ВИХІДНИМ КОДОМ ДЛЯ МОНІТОРИНГУ ТА РЕАГУВАННЯ НА КІБЕРІНЦИДЕНТИ З ВИКОРИСТАННЯМ ШТУЧНОГО ІНТЕЛЕКТУ ЯК АЛЬТЕРНАТИВА РІШЕННЯМ EDR/XDR

Анотація

У статті представлено підхід до проєктування локальної платформи моніторингу кібербезпеки та реагування на інциденти на основі технологій з відкритим вихідним кодом із інтегрованою підтримкою штучного інтелекту. Актуальність дослідження зумовлена зростаючою складністю кіберзагроз, збільшенням кількості кінцевих точок у сучасних інфраструктурах, а також необхідністю безперервного моніторингу та оперативного реагування в межах центрів операцій безпеки (SOC). Традиційні рішення класу EDR та XDR забезпечують високий рівень автоматизації та можливостей виявлення, однак базуються на підпискових моделях, що створюють довгострокові операційні обмеження та знижують гнучкість управління інфраструктурою. У дослідженні розглянуто функціональні ролі EDR, XDR, SIEM та SOC в корпоративних середовищах і визначено ключові виклики, пов’язані з масштабованістю, володінням даними та залежністю від пропрієтарних платформ. Особливу увагу приділено обмеженням централізованих комерційних рішень при їх застосуванні в розподілених інфраструктурах із сотнями керованих кінцевих точок. У роботі запропоновано модель локальної платформи кібербезпеки, що об’єднує моніторинг кінцевих точок, кореляцію подій та управління журналами в межах єдиної архітектури. Запропоноване рішення базується на використанні Wazuh для функцій виявлення загроз на кінцевих точках і SIEM, індексації подій із сумісністю з OpenSearch для зберігання та аналітики, а також локальних систем зберігання даних для забезпечення безпечного та масштабованого зберігання журналів. Введено окремий локальний рівень аналізу на основі штучного інтелекту для підтримки процесів SOC, який забезпечує автоматичне узагальнення сповіщень, кореляцію пов’язаних подій, формування гіпотез щодо джерел інцидентів і допомогу аналітикам у прийнятті рішень без передачі чутливих даних до зовнішніх сервісів. Результати дослідження включають опис архітектури системи, апаратної конфігурації, процесів обробки даних та стратегій зберігання. Запропонований підхід акцентує увагу на прозорості, гнучкості та адаптивності до специфічних вимог організації. Крім того, модель передбачає використання структурованої методології proof-of-concept для оцінки покриття виявлення, продуктивності системи та ефективності процесів із використанням штучного інтелекту. Дослідження демонструє, що інтеграція інструментів з відкритим вихідним кодом із локальними можливостями штучного інтелекту дозволяє підвищити ефективність операцій кібербезпеки, зберігаючи контроль над даними та інфраструктурою. Запропонована платформа є практичною альтернативою традиційним рішенням класу EDR/XDR у сценаріях, де критичними є кастомізація, передбачуваність витрат та суверенність даних.