Підключіть ШІ-модель для пошуку IOC
GoChannel Desk працює з хмарним AI-провайдером через стандартну кінцеву точку API, з моделлю на вашому ПК або з вбудованою моделлю. Вибір важливий. Він визначає, куди потрапляють рядки логів у запиті, а це має значення, коли в логах є імена користувачів та IP-адреси.
Три способи підключити модель
Хмарний AI-провайдер
Хмарний AI-провайдер підключається через стандартну кінцеву точку API і підходить для більших тек із логами чи складнішого міркування. Запити йдуть на цю точку, тож усі рядки логів, які додав агент, залишають ваш ПК. Секрети у виводі інструментів приховуються до того, як потрапляють до моделі. Логи містять персональні дані. Звичайні рядки з іменами користувачів та IP-адресами все одно потрапляють на кінцеву точку, тож спершу перегляньте правила вашої організації.
Модель на вашому ПК
Модель, що працює локально на вашому ПК, залишає все на машині: з локальною моделлю нічого не виходить за її межі, що пасує логам з іменами користувачів і адресами та інцидентам, які мають лишатися приватними. Швидкість і якість залежать від вашого заліза та моделі, яку ви запускаєте. Спершу випробуйте її на нешкідливих зразках логів.
Вбудована модель
Вбудована модель — варіант, який варто спробувати, коли під рукою немає кінцевої точки чи ключа. Якість буває різною. Перевіряйте її вивід так само, як і вивід будь-якої іншої моделі, і дотримуйтеся правил своєї організації щодо персональних даних, перш ніж давати їй чутливі копії логів.
Перевірте кінцеву точку кнопкою Test
Кнопка Test перевіряє кінцеву точку, перш ніж ви на неї покладетеся. Вона показує час відповіді та вікно контексту, а воно підказує, скільки тексту логів вміщається в один запит. Перевіряйте знову після змін. Мале вікно означає, що агентові слід давати менші файли або по одній теці.
Вибір моделі для пошуку в логах
Використовуйте більшу модель для кроків, що потребують судження, як-от зіставлення збігів у кількох логах чи складання нотатки з результатами, а меншу — для вузьких правок, як-от повернення «знешкоджених» рядків в iocs.txt до звичайного вигляду. run_on_model віддає один складний крок більшій моделі, а решта завдання лишається на моделі за замовчуванням. Поєднуйте їх.
Якість різниться між моделями. Самостійно перевіряйте кожен diff і кожен результат пошуку та використовуйте Ask first, коли пробуєте нову модель, щоб кожна зміна чекала вашого OK. Чистий результат ніколи не доводить, що система чиста.
