Přeskočit obsah

LogMan.io AI SIEM

TeskaLabs LogMan.io AI SIEM je agentní AI platforma integrovaná v TeskaLabs LogMan.io. Propojuje velké jazykové modely (LLM) s nástroji, skills a řízeným sandboxem, takže analytici a operátoři mohou vyšetřovat, psát detekce, dotazovat data a automatizovat SIEM práci přirozeným jazykem.

Platforma má dvě vrstvy:

Vrstva Role
Inference Spouští jazykový model: chat completions, streamování tokenů a reasoning.
Harness Vše kolem modelu: konverzace, nástroje, skills, sandbox, shares, human-in-the-loop a příkazy se lomítkem.

Harness promění surový LLM v spolehlivého SIEM AI agenta. Model navrhuje akce; harness je provádí, streamuje průběh do UI, vynucuje bezpečnostní politiky, drží auditní stopu a udržuje kontext napříč relacemi.

Hint

Harness je implementován v mikroslužbě llm-microlink. Běží u zákazníka on-premise, vedle zbytku LogMan.io a sandboxů. Inference obvykle běží v TeskaLabs AI clusteru a je dostupná přes síť.

Diagram: LogMan.io AI SIEM Architecture

Diagram ukazuje rozdělení nasazení:

  • TeskaLabs — LLM inference a routing. Harness posílá prompty a přijímá streamovaný výstup modelu; zákaznická data událostí nemusí být v AI clusteru.
  • On-premise u zákazníka — llm-microlink (harness), uživatelská relace a Sandbox. Skills a nástroje běží zde, takže přístup k LogMan.io a interním hostům zůstává v perimetru zákazníka.
  • Ze sandboxu může agent volat LogMan.io REST API a při potřebě skillu dosáhnout na externí hosty (např. přes SSH).

Vlastní inference

Harness můžete namířit na vlastní inference endpointy místo TeskaLabs AI clusteru. Tato možnost existuje pro speciální nasazení; výchozí a doporučená cesta je inference hostovaná u TeskaLabs. Viz Inference.

Typické použití

Většina každodenní práce je člověk u počítače, který chatuje s agentem v UI LogMan.io:

  1. Uživatel otevře konverzaci (nebo agenta) a popíše cíl.
  2. Harness sestaví instrukce z výchozího promptu, Soul, dostupných skills a nástrojů a volitelných faktů — kde je to relevantní, ze Knihovny.
  3. LLM streamuje reasoning a může emitovat tool calls.
  4. Harness spouští nástroje v on-prem sandboxu (shell, čtení knihovny, ask user, REST helpery, …), volitelně po vettingu.
  5. Výsledky se vrátí do konverzace; smyčka pokračuje, dokud úkol není hotový.

Stejný harness podporuje i plně autonomní běhy — agenty a plánované úlohy bez interaktivního chatu. Režimy můžete kombinovat: chat pro některé kroky, vetting pro citlivé nástroje a autonomii pro zbytek. Viz Human-in-the-loop a řízení a Konverzace.

Co můžete dělat

  • Vyšetřovat — hledat a analyzovat události (lmio-query)
  • Detection engineering — psát, unit-testovat a huntovat korelační pravidla (lmio-detection-engineer)
  • Znalosti produktu — odpovídat „jak funguje X?“ z dokumentace a Common Library (lmio-knowledge)
  • Provoz přes API — volat LogMan.io REST endpointy (lmio-rest-api)
  • Infrastruktura — SSH a vzdálená administrace (devops)
  • Paměť — Soul a trvalé fakty (soul-bootstrap, facts)
  • Automatizace — cílově orientované agenty a plány