Selectel: локальная LLM закрывает около 80% инцидентов ИБ первой линии

В SOC Selectel логи части служебных и клиентских систем стекаются в SIEM, которая по корреляционным правилам создаёт инциденты. L1-аналитик по каждому инциденту изучал события в SIEM, искал CVE, проверял адреса и хосты во внутренней документации, писал разбор по шаблону и решал, закрыть инцидент как ложное срабатывание или эскалировать на L2. Инцидентов приходило около 100 в месяц, примерно 80% оказывались ложными, но каждый требовал проверки и документирования; полный разбор занимал до двух рабочих дней. Команда параллельно администрировала оборудование и работала с клиентами. Цель — передать модели первичный анализ, обогащение данных и подготовку решения, оставив решение за человеком.

Внутренняя ИБ-политика запрещает передавать данные во внешние сервисы, поэтому облачные LLM отпали. Из локально развёрнутых в Selectel моделей сравнили Qwen 3.6-27B и GLM-5.1, затем заменённую на GLM-5.2. На наборе «золотых инцидентов» с известным решением GLM-5.2 показала точность 67,6% против 48,5% и долю ложных эскалаций 4% против 9,1%. Вместо файнтюнинга выбран RAG с полнотекстовым поиском по Confluence: размеченного датасета не было. Оркестратор — локально развёрнутый n8n. Второй проход выполняет валидатор: он проверяет классификацию, критичность и решение первой модели на противоречия и возвращает оценку согласия от 0 до 1.

Инцидент из SIEM приходит в n8n в виде JSON и нормализуется скриптом. При наличии CVE данные об уязвимости подтягиваются из OSV API, по хостам, IP-адресам и пользователям строится запрос к Confluence, очищенные фрагменты передаются модели вместе с жёстким системным промптом. Модель возвращает классификацию, критичность, уверенность и решение L1; после валидации инцидент закрывается как ложный, эскалируется на L2, ставится на мониторинг или уходит на разбор человеком. Аналитик получает заключение в Telegram. По итогам внедрения около 80% инцидентов закрываются практически без участия аналитика, под его присмотром; время на разбор остальных, по словам инженера по ИБ Selectel, заметно сократилось.