так и не расследуются
Ещё 46% оказываются ложными — время команды уходит на шум, а не на атаки.
Microsoft / Omdia, 17.02.2026AI-SOC · обнаружение атак в журналах
Не ещё один алерт, а готовое расследование атаки.
AI-SOC находит атаки в журналах событий языковой моделью — без ручных правил корреляции — и сразу собирает расследование: цепочку действий атакующего по MITRE ATT&CK и события, на которые опирается каждый вывод. Работает в вашем контуре на локальной модели.
● локальная модель на CPU
● on-prem и изолированный контур
● алерты SIEM → вердикт
цепочка атаки · MITRE ATT&CKрасследование
TA0001вход
TA0002запуск
TA0006учётные данные
TA0008перемещение
TA0010вывод данных
ws-buh-14 · powershell -enc из winword.exeT1059.001
ws-buh-14 · доступ к памяти lsass.exeT1003.001
svc-backup → srv-fin-02 · вход по SMBT1021.002
PAN-OS · выгрузка на внешний адресT1048
✓ каждый вывод опирается на событиямодель: локальная
19проверенных пакетов источников — из 82 в поставке
11тактик MITRE ATT&CK в цепочке атаки расследования
316готовых вопросов для охоты за угрозами
0ручных правил корреляции — обнаружение ведёт модель
Интерфейс
Так выглядит AI-SOC в работе
Очередь алертов и расследование: цепочка атаки по MITRE ATT&CK и события, на которые опирается каждый вывод модели.
Демонстрационные данные.
Почему сейчас
SOC тонет в алертах. Атакующий тем временем работает месяцами.
Правила корреляции пишут и поддерживают вручную, очередь разбирают по одному сигналу. Значительная часть алертов остаётся без внимания, хотя следы атаки всё это время лежат в журналах. Нужен инструмент, который сам находит атаку и отдаёт аналитику готовую картину.
проходит от проникновения до шифрования
Всё это время атакующий действует внутри сети. Ущерб — от 50 млн до 1,5 млрд ₽.
Positive Technologies, CNews, 14.10.2026отменил «Аэрофлот» после кибератаки
Ещё более 80 задержаны. Хакеры заявили, что находились в сети около года.
Интерфакс, 28.07.2025Как это работает
Журналы → профиль нормы → анализ моделью → расследование.
01
Сбор
Коллектор Vector принимает syslog по UDP и TCP, файлы и HTTP, а пакеты источников приводят события к единой схеме OCSF 1.3.
02
Профиль
По истории за 30 дней AI-SOC строит профиль обычной активности — события оцениваются на фоне того, что нормально именно для вашей инфраструктуры.
03
Анализ
Модель разбирает окна событий в два прохода: первичный (L1) и глубокий (L2). Утверждение, которое не опирается на конкретные события, отбрасывается.
04
Расследование
Алерт приходит с цепочкой действий атакующего по тактикам MITRE ATT&CK, графом сущностей и событиями-основаниями. Решение — за аналитиком.
Возможности
Вместо потока сигналов — расследования, с которыми можно работать.
Атаки без ручных правил корреляции
Атаки находит модель: базу правил под каждый сценарий не нужно писать и поддерживать. Вывод без опоры на конкретные события отбрасывается — до того, как попасть в очередь.
Цепочка атаки вместо разрозненных алертов
Шаги атакующего по 11 тактикам MITRE ATT&CK, граф сущностей и события-основания — в одном расследовании. Каталог ATT&CK Enterprise v19.1: 15 тактик, 697 техник.
Решения по алертам — с обоснованием
Подтвердить, отклонить, эскалировать или назначить: каждое решение сохраняется в истории вместе с обоснованием. Повторы склеиваются, риск накапливается по каждой сущности.
316 готовых вопросов для охоты за угрозами
Проверяйте гипотезы по своим журналам без запросов с нуля. Поиск по журналам и экспорт правил в формат Sigma.
19 проверенных источников из коробки
Windows Security, Sysmon и PowerShell, Linux auditd и sshd, веб-серверы, PostgreSQL, Kubernetes, Cisco, FortiGate, PAN-OS, Suricata и Zeek. Ещё 63 опытных пакета — в поставке.
Журналы в расследование — файлом
Выгрузку с хоста, который не подключён к сбору, можно загрузить прямо в расследование: 14 парсеров и EVTX.
Рядом с вашим SIEM, а не вместо
AI-SOC принимает алерты SIEM и возвращает по ним вердикт веб-хуком. Исходящие веб-хуки, хранение в ClickHouse заказчика, здоровье платформы — в Alertmanager.
Локальная модель, видеокарта не обязательна
Базовая поставка — llama.cpp на CPU внутри вашего контура, в том числе изолированного. Внешняя модель подключается только по вашему решению.
Роли, журнал настроек и отчёты
5 ролей — от наблюдателя до администратора, журнал настроек и история решений. Отчёты по расследованиям и охоте — в PDF и HTML.
Кому полезно
Аналитик получает расследование. Руководитель SOC — управляемую очередь. CISO — контроль без выноса журналов.
Руководителю SOC
Очередь без дублей, назначение и эскалация с обоснованием, история решений. Базу правил корреляции поддерживать не нужно — обнаружение ведёт модель.
Аналитику L1/L2
Алерт приходит уже с цепочкой атаки, графом сущностей и событиями-основаниями. Поиск по журналам, загрузка файлов в расследование, 316 вопросов для охоты и экспорт в Sigma.
CISO
Обнаружение атак на локальной модели — журналы не покидают контур. Роль аудитора, отчёты по расследованиям в PDF и HTML, пилот рядом с действующим SIEM.
Развёртывание
Офлайн-пакет в вашем контуре. Видеокарта не обязательна.
- Поставка
- Офлайн-пакет
aisoc-<версия>-linux-{amd64,arm64}.tarиinstall.sh; Docker Compose. В текущей версии обнаружение ведёт только модель - Контур
- On-prem, в том числе изолированный контур без доступа в интернет
- Модель
- Базовая поставка — локальный llama.cpp на CPU; веса моделей не входят в дистрибутив. Внешняя модель — только по решению заказчика
- Профиль пилота на CPU
- Gemma-4-26B-A4B Q4 и Qwen3.6-35B-A3B Q4 на сервере с 512 ГБ памяти; видеокарта не обязательна
- Минимум с внешней моделью
- 8 vCPU и 16 ГБ — до 500 тыс. событий в сутки
- Сбор
- Коллектор Vector (VRL): syslog UDP/TCP, файлы, HTTP, приём JSON по HTTP; нормализация в OCSF 1.3
- Источники
- 82 пакета в поставке. Полностью проверены 19: Windows Security, Sysmon, PowerShell, Linux auditd, syslog, sudo, PAM, sshd, Nginx, Apache, IIS, PostgreSQL, Kubernetes audit, Cisco ASA, Cisco IOS, FortiGate, Palo Alto PAN-OS, Suricata, Zeek. Остальные 63 — опытные
- Загрузка файлов
- В расследование: 14 парсеров и EVTX
- Интеграции
- Приём алертов SIEM (
/api/ingest/alerts) и вердикты обратно веб-хуком; исходящие веб-хуки; ClickHouse заказчика; Alertmanager для здоровья платформы - Роли и аудит
- 5 ролей: наблюдатель, аудитор, аналитик, руководитель, администратор. Журнал настроек, история решений, отчёты в PDF и HTML
- Хранение по умолчанию
- События — 45 дней, поток — 180, находки — 90, алерты и расследования — 365 дней
Пилот за 30 дней
Решение о покупке — по отчёту пилота на ваших журналах, а не по демонстрации.
Критерии успеха согласуем до старта. Пилот идёт рядом с действующим SIEM: AI-SOC может принимать его алерты и возвращать вердикты. От вас — сервер в контуре и доступ к журналам.
ШАГ 01
Задача
Выбираем источники журналов и сценарии вместе с вашими SOC и ИТ.
ШАГ 02
Установка
Разворачиваем в вашем контуре из офлайн-пакета — за день.
ШАГ 03 · 30 ДНЕЙ
Пилот
Работаем на ваших журналах в режиме наблюдения, параллельно с текущим мониторингом.
ШАГ 04
Решение
Отчёт: что нашла модель и какие алерты подтвердили ваши аналитики, — и решение о промышленном запуске.
Веса моделей не входят в дистрибутив — модель и профиль сервера согласуем до старта пилота.
Вопросы
Что обычно спрашивают SOC и ИБ
Заменяет ли AI-SOC наш SIEM?
Нет, работает рядом. AI-SOC принимает алерты вашего SIEM и возвращает по ним вердикты веб-хуком, а также собирает журналы своим коллектором. Пилот проходит параллельно с действующим мониторингом.
Уходят ли журналы за пределы контура?
Нет, если вы не решите иначе. Базовая поставка — локальная модель на CPU внутри вашего контура, поддерживается изолированный контур. Внешнюю модель можно подключить только по вашему решению — в этом случае данные передаются в неё без маскирования.
Нужна ли видеокарта?
Нет. Профиль пилота — модели Gemma-4-26B-A4B и Qwen3.6-35B-A3B в квантовании Q4 на CPU-сервере с 512 ГБ памяти. Веса моделей не входят в дистрибутив — модель согласуем с вами до старта.
Сколько событий выдержит?
В минимальной конфигурации с внешней моделью — 8 vCPU и 16 ГБ — до 500 тыс. событий в сутки. Для локальной модели железо подбираем в пилоте под ваш поток журналов.
Это работает в реальном времени?
Нет, и мы этого не обещаем: анализ окна событий занимает минуты. Зато на выходе не одиночный сигнал, а расследование с цепочкой атаки и событиями-основаниями. Автоматического реагирования нет — решение по алерту принимает аналитик.
Как модель не выдумывает атаки?
Каждое утверждение модели должно опираться на конкретные события из журналов — иначе оно отбрасывается. Аналитик видит эти события в расследовании и решает сам. Качество обнаружения на ваших данных измеряем в пилоте, а не обещаем на словах.
Есть ли замеры качества обнаружения?
Контрольные прогоны ведём, но цифры с чужих данных и другой модели вам мало скажут. Полноту и долю ложных тревог измеряем в пилоте на ваших журналах и с вашей моделью — и отдаём в отчёте.
Есть ли автоматическое реагирование и интеграция с Jira?
Нет: SOAR нет, решение принимает аналитик. События передаются исходящими веб-хуками, готовых коннекторов к Jira и ServiceNow пока нет.
Пилот AI-SOC
Покажем на ваших журналах, а не на демо-стенде.
Оставьте заявку — согласуем источники журналов, сценарии и критерии успеха пилота.
Заявка отправлена
Свяжемся с вами по указанной почте, чтобы согласовать пилот AI-SOC.