Битрикс24: локальная LLM пишет правила разбора логов для SIEM, автоматизация 80–90% задачи

В отделе «Битрикс24» работает централизованный Syslog-сервер, куда стекаются логи всех сервисов: Nginx, Apache, системные логи Linux, кастомный софт, микросервисы и самописные скрипты со своими форматами вывода. Данные агрегируются в Wazuh — открытую SIEM-систему мониторинга безопасности. Чтобы Wazuh понимал нестандартный лог, нужно писать XML-декодер с регулярным выражением, а ошибки в нём трудно отлаживать: Wazuh не указывает строку с ошибкой и не объясняет её характер. При десятках сервисов с постоянно меняющимися форматами логов поддержка SIEM становится значительной нагрузкой.

Компания вынесла разбор логов за пределы Wazuh: Python-скрипт перехватывает сырые строки, применяет к ним регулярные выражения и передаёт в Wazuh структурированный JSON. Регулярные выражения пишет локальная LLM — собственная модель BitrixGPT, запущенная через LM Studio или Ollama на имеющемся в отделе Mac Mini M4 Pro. Библиотека Drain3 группирует строки по шаблонам; для каждого нового шаблона скрипт отправляет модели пять реальных примеров, проверяет полученное выражение на них и при ошибке до трёх раз просит модель исправить его. Проверенные правила сохраняются и применяются без обращения к модели. Иерархию правил Wazuh строит облачная модель по обезличенной структуре полей.

Система работает в двух режимах: потоковом — для текущих логов через syslog-ng и TCP-сокет, и пакетном — для ретроспективного анализа. Нераспознанные строки копятся в буфере; при 100 таких строках или через 5 минут система генерирует новые правила. По данным компании на февраль 2026 года, 85–90% регулярных выражений проходят валидацию с первой попытки, после 2–3 попыток успешность достигает 98% и выше. Потоковый режим обрабатывает около 100–500 строк в секунду, модель генерирует около 70 токенов в секунду. Логи с IP-адресами и логинами не покидают периметр компании. По оценке компании, задача администратора SIEM автоматизирована на 80–90%.