Jitterbit Security Alert Agent

Übersicht

Jitterbit stellt Kunden den Security Alert Agent über den Jitterbit Marketplace zur Verfügung. Dieser Agent wurde entwickelt, um die Anzahl redundanter Sicherheitswarnungen zu reduzieren, die Bedrohungsreaktion zu beschleunigen und die Entscheidungsqualität in Ihrer Sicherheitsinfrastruktur zu verbessern. Der Agent fungiert als unterstützende Sicherheits-Controlplane: Er empfängt Sicherheitsereignisse von Wazuh und Tenable über API-Webhooks, nutzt AI zur Analyse und Klassifizierung jedes Ereignisses und liefert strukturierte Benachrichtigungen über Slack und E-Mail.

Wenn ein Sicherheitsereignis erkannt wird, analysiert der Agent die eingehende Payload, leitet diese an den entsprechenden Handler weiter und sendet das Ereignis zur Analyse an ein LLM. Das LLM normalisiert die Schweregrad, verdeckt sensible Daten, klassifiziert das Ereignis als Vorfallsbericht, Warnung oder Digest und erstellt formatierte Benachrichtigungsinhalte. Der Agent prüft dann den Jitterbit Cloud Datastore, um Ereignisse vor dem Versand einer Slack-Benachrichtigung und dem Senden einer E-Mail-Warnung an konfigurierte Empfänger zu deduplizieren. Ein geplanter Workflow entfernt automatisch Datensätze im Cloud Datastore, die älter als sieben Tage sind, um einen sauberen Status zu gewährleisten.

Der Agent führt folgende Aufgaben aus:

• Empfängt Sicherheitsereignis-Payloads von Wazuh und Tenable über API-Webhook-Endpunkte.
• Leitet Ereignisse basierend auf dem Quellsystem an den entsprechenden Handler weiter.
• Nutzt AI zur Normalisierung des Ereignisschwergrades, zum Verdecken sensibler Daten und zur Klassifizierung von Ereignissen als Vorfallsberichte, Warnungen oder Digests.
• Dedupliziert Ereignisse mithilfe von Cloud Datastore, um wiederholte Benachrichtigungen für dasselbe Ereignis zu reduzieren.
• Sendet strukturierte Sicherheitswarnungen über Slack und E-Mail.
• Entfernt automatisch Cloud Datastore-Datensätze, die älter als sieben Tage sind.

In diesem Dokument wird erläutert, wie man diesen AI Agent einrichtet und betreibt. Es behandelt die Architektur, Voraussetzungen und Schritte zur Installation, Konfiguration und zum Betrieb des AI Agent.

AI Agent-Architektur

Dieser AI Agent funktioniert als headless Sicherheitsereignis-Prozessor, der durch externe Sicherheitsüberwachungsplattformen ausgelöst wird. Ein typisches Sicherheitsereignis wird wie folgt behandelt:

1. Ein Sicherheitsereignis in Wazuh oder Tenable löst eine POST-Anfrage an den Custom API Service des Agenten (/wazuh oder /tenable) aus.
2. Die Vorgangsweise API Request Handler analysiert die Ereignisquelle aus dem Query-Parameter eventresource der Anfrage, und ein Vorgang Event Trigger leitet die Anfrage an den Wazuh- oder Tenable-Event-Handler weiter.
3. Der Vorgang AI Manager koordiniert mit dem Workflow Main - AI Agent Logic, um die Ereignis-Payload vorzubereiten und an ein LLM zu senden.
4. Das LLM analysiert das Ereignis, normalisiert seinen Schweregrad (Low, Medium, High oder Critical), wendet Maskierung sensibler Daten an, klassifiziert den Ereignistyp und gibt eine strukturierte Antwort zurück, die formatierte Inhalte für die Slack-Benachrichtigung und die E-Mail-Warnung enthält.
5. Der Main Workflow prüft Cloud Datastore, um festzustellen, ob dieses Ereignis bereits aufgezeichnet wurde.
6. Wenn das Ereignis neu ist, wird ein Datensatz in Cloud Datastore eingefügt. Wenn das Ereignis bereits vorhanden ist, wird sein Deduplicerungszähler erhöht.
7. Eine Slack-Benachrichtigung und eine E-Mail-Warnung werden an konfigurierte Empfänger gesendet.
8. Nach einem täglichen Plan entfernt ein Cleanup-Workflow Cloud Datastore-Datensätze, die älter als sieben Tage sind.

Workflow-Diagramm

Das folgende Diagramm zeigt den Hauptanforderungsbearbeitungs-Workflow für den Security Alert Agent.

Voraussetzungen

Sie benötigen die folgenden Komponenten, um diesen AI Agent zu nutzen.

Harmony-Komponenten

Sie müssen über eine Jitterbit Harmony-Lizenz mit Zugriff auf die folgenden Komponenten verfügen:

• Jitterbit Studio
• Jitterbit API Manager
• Jitterbit Cloud Datastore
• Jitterbit Security Alert Agent, erworben als Lizenz-Add-on

Unterstützte Endpunkte

Der AI-Agent verbindet sich mit den folgenden Endpunkten. Sie können andere Systeme durch Änderung der Endpunktkonfigurationen und Workflows des Projekts integrieren.

Large Language Model (LLM)

Der AI-Agent nutzt OpenAI als LLM-Anbieter für die Analyse von Sicherheitsereignissen und die Generierung von Benachrichtigungen. Um OpenAI zu verwenden, benötigen Sie ein OpenAI-Konto mit einem API-Schlüssel.

Sicherheitsereignisquellen

Der Agent akzeptiert Sicherheitsereignis-Payloads via POST von den folgenden Plattformen:

• Wazuh: Der Agent stellt einen /wazuh-API-Endpunkt zur Verfügung. Wazuh muss so konfiguriert sein, dass Sicherheitsereignisse an die Service-URL dieses Endpunkts gesendet werden.
• Tenable: Der Agent stellt einen /tenable-API-Endpunkt zur Verfügung. Tenable muss so konfiguriert sein, dass Sicherheitsereignisse an die Service-URL dieses Endpunkts gesendet werden.

Beide APIs werden unter Erstellen Sie die benutzerdefinierten Jitterbit-APIs erstellt.

Slack

Der Agent sendet Sicherheitsbenachrichtigungen an einen Slack-Kanal. Sie benötigen einen Slack-Workspace und einen Slack-Bot mit einem gültigen Bot User OAuth Token.

E-Mail

Der Agent sendet Sicherheitswarnungen per E-Mail über SMTP. Sie benötigen Zugriff auf einen SMTP-Server und gültige Anmeldedaten für das Konto, das für den Versand von Benachrichtigungen verwendet wird.

Cloud Datastore

Der Agent nutzt Jitterbit Cloud Datastore, um den Status der Ereignisentduplizierung zu verwalten und Antwortsatzspeicher für zukünftige Referenzen zu speichern. Cloud Datastore ist Teil der Jitterbit Harmony-Plattform und erfordert keinen separaten Service-Account, aber die Anzahl der verfügbaren Schlüsselspeicher hängt von der Cloud Datastore-Stufe ab, die Ihre Organisation gekauft hat.

Installation, Konfiguration und Betrieb

Führen Sie diese Schritte aus, um diesen AI-Agent zu installieren, zu konfigurieren und zu betreiben:

1. Herunterladen und Installieren des Projekts
2. OpenAI-Anmeldedaten abrufen
3. Cloud Datastore vorbereiten
4. Konfigurieren des Slack-Bots
5. Projektvariablen konfigurieren
6. Verbindungen testen
7. Projekt bereitstellen
8. Erstellen Sie die benutzerdefinierten Jitterbit-APIs
9. Projekt-Workflows überprüfen
10. Auslösen der Projekt-Workflows

Anleitungen zur Fehlersuche finden Sie unter Fehlersuche.

Herunterladen und Installieren des Projekts

Führen Sie diese Schritte aus, um das Studio-Projekt für den AI-Agent zu installieren:

1. Melden Sie sich beim Harmony-Portal unter https://login.jitterbit.com an und öffnen Sie Marketplace.

2. Suchen Sie den AI-Agent namens Jitterbit Security Alert Agent. Verwenden Sie die Suchleiste, oder wählen Sie im Bereich Filter unter Typ die Option AI Agent aus, um die Anzeige auf AI-Agenten zu beschränken.

3. Klicken Sie auf den Link Dokumentation des Agents, um seine Dokumentation in einem separaten Tab zu öffnen. Halten Sie den Tab offen, um später darauf verweisen zu können.

4. Klicken Sie auf Start Project, um ein Konfigurationsdialogfeld zu öffnen.

   Hinweis

   Falls Sie den AI-Agent noch nicht erworben haben, wird stattdessen Get agent angezeigt. Klicken Sie darauf, um ein Informationsdialogfeld zu öffnen, und klicken Sie dann auf Submit, damit ein Vertreter Sie zum Kauf des AI-Agents kontaktiert.

5. Wählen Sie im Dialogfeld Create a New Project eine Umgebung aus, in der das Studio-Projekt erstellt wird, und klicken Sie auf Create Project.

6. Nachdem das Fortschrittsdialogfeld anzeigt, dass das Projekt erstellt wurde, verwenden Sie den Dialog-Link Go to Studio oder öffnen Sie das Projekt direkt über die Studio-Seite Projects.

OpenAI-Anmeldedaten abrufen

Um OpenAI als LLM-Anbieter zu verwenden, benötigen Sie ein OpenAI-Konto mit einem aktiven API-Schlüssel:

1. Melden Sie sich bei OpenAI an und navigieren Sie zu API keys.
2. Erstellen Sie einen neuen API-Schlüssel und speichern Sie ihn zur Verwendung in den OpenAI-Projektvariablen.
3. Notieren Sie die Basis-URL für die OpenAI-API (normalerweise https://api.openai.com/v1) und das Modell, das Sie für die Analyse von Sicherheitsereignissen verwenden möchten (z. B. gpt-4o).

Cloud Datastore vorbereiten

Erstellen Sie einen Schlüsselspeicher in Jitterbit Cloud Datastore mit dem Namen AI Security. Die Felder Key, AlternativeKey und Value sind standardmäßig vorhanden. Fügen Sie die folgenden benutzerdefinierten Felder hinzu:

AI Security

Speichern Sie das Cloud Datastore-Zugriffstoken zur Verwendung in den Cloud Datastore-Projektvariablen.

Slack-Bot konfigurieren

Führen Sie die folgenden Schritte aus, um Slack für Sicherheitsbenachrichtigungen zu konfigurieren:

1. Erstellen oder identifizieren Sie in Ihrem Slack-Workspace eine Slack-App zur Verwendung für Benachrichtigungen. Informationen zum Erstellen einer neuen App finden Sie in der Slack-API-Dokumentation.

2. Stellen Sie sicher, dass die App über den OAuth-Scope chat:write verfügt, um Nachrichten an Kanäle zu posten.

3. Installieren Sie die App in Ihrem Workspace.

4. Rufen Sie das Bot-Token ab und speichern Sie es für die slack.oauth.access.token-Projektvariable.

5. Identifizieren oder erstellen Sie den Slack-Kanal, in dem Sicherheitsbenachrichtigungen gepostet werden sollen, und notieren Sie sich den Kanalnamen.

Projektvariablen konfigurieren

Legen Sie in dem aus dem Marketplace installierten Studio-Projekt Werte für die folgenden Projektvariablen fest.

Verwenden Sie zum Konfigurieren von Projektvariablen das Menü des Projekts und wählen Sie Project Variables aus, um das Konfigurationsfenster zu öffnen.

OpenAI

Slack

E-Mail

Cloud Datastore

Verbindungen testen

Testen Sie die Endpunktkonfigurationen, um die Konnektivität anhand der definierten Projektvariablenwerte zu überprüfen.

Zum Testen von Verbindungen gehen Sie zur Registerkarte Projektendpunkte und Connectoren in der Palette der Designkomponente, fahren Sie mit der Maus über jeden Endpunkt und klicken Sie auf Testen.

Projekt bereitstellen

Stellen Sie das Studio-Projekt bereit.

Um das Projekt bereitzustellen, verwenden Sie das Menü Aktionen des Projekts und wählen Sie Bereitstellen.

Benutzerdefinierte Jitterbit-APIs erstellen

Erstellen Sie zwei benutzerdefinierte APIs mit dem API Manager, um die Event-Handling-Einstiegspunkte des Agenten für Wazuh und Tenable verfügbar zu machen. Beide APIs lösen denselben API Request Handler aus; der Abfrageparameter eventresource in jeder Anfrage bestimmt, welcher Handler der Sicherheitsplattform ausgeführt wird.

Benutzerdefinierte Wazuh-API

Konfigurieren und veröffentlichen Sie eine benutzerdefinierte API für Wazuh mit den folgenden Parametern:

Behalten Sie nach der Veröffentlichung die Service-URL. Konfigurieren Sie Wazuh so, dass Sicherheitsereignisse an diese URL gesendet werden, einschließlich des Abfrageparameters eventresource=wazuh.

Benutzerdefinierte Tenable-API

Konfigurieren und veröffentlichen Sie eine benutzerdefinierte API für Tenable mit den folgenden Parametern:

Behalten Sie nach der Veröffentlichung die Service-URL. Konfigurieren Sie Tenable so, dass Sicherheitsereignisse an diese URL gesendet werden, einschließlich des Abfrageparameters eventresource=tenable.

Projekt-Workflows überprüfen

Das Studio-Projekt enthält vier Workflows, die die Funktionalität des Security Alert Agent implementieren und in zwei funktionale Gruppen unterteilt sind.

Ereignisverarbeitung

Wartung

Main Entry Workflow - API Request

Dieser Workflow verarbeitet alle eingehenden API-Anfragen von externen Sicherheitsplattformen. Die Operation API Request Handler analysiert die Event-Payload und extrahiert die Event-Quelle aus dem Abfrageparameter eventresource der Anfrage. Eine Event Trigger-Operation leitet die Ausführung dann an den entsprechenden Handler weiter: Wazuh-Events werden an Wazuh Event Execution weitergeleitet und Tenable-Events an Tenable Event Execution. Die AI Manager-Operation koordiniert nachfolgende Aufrufe des Workflows Main - AI Agent Logic.

Main - AI Agent Logic

Dieser Workflow verwaltet den gesamten LLM-Interaktionslebenszyklus für ein Sicherheitsereignis. Die Operation AI Logic Controller delegiert an das Skript OpenAI prompt controller, das einen strukturierten Systemprompt und Benutzerprompt erstellt, die das LLM zur Normalisierung von Schweregrad, Maskierung sensibler Daten und Ausgabeformatanforderungen anweisen. Prep OpenAI Payload und Send OpenAI Payload bereiten die Anfrage vor und senden sie ab. Parse OpenAI Response extrahiert die strukturierte JSON-Ausgabe des LLM, und Parse AI Response verarbeitet das Ergebnis nachträglich in den endgültigen Inhalt, der sowohl für die Slack-Benachrichtigung als auch für die E-Mail-Warnung verwendet wird.

Hauptworkflow

Dieser Workflow verarbeitet ein Sicherheitsereignis, nachdem es vom LLM analysiert wurde. Der Check If EventID Exist in Cloud Datastore Vorgang fragt Cloud Datastore ab, um die aktuelle Ereignis-ID nachzuschlagen. Der EventID Exists Vorgang wertet das Ergebnis dann mithilfe des Decision EventID Exists Schritts aus: Wenn die Ereignis-ID gefunden wird (Y), inkrementiert Update EventID die Deduplizierungsanzahl über Update EventID Count in Cloud Datastore; wenn sie nicht gefunden wird (N), fügt Insert EventID einen neuen Datensatz über Insert EventID to Cloud Datastore hinzu. Nach der Deduplizierung sendet Post Response to Slack die formatierte Slack-Benachrichtigung und Post Notification Email sendet die E-Mail-Benachrichtigung.

Schlüssel älter als 7 Tage löschen

Dieser Workflow wird nach einem täglichen Zeitplan ausgeführt, um die Cloud Datastore Hygiene zu erhalten. Der Delete 7 Days Older key Vorgang nutzt das Delete Key Skript, um das Datum von vor sieben Tagen zu berechnen, und durchläuft Cloud Datastore Schlüssel seitenweise über den Query all Key Vorgang. Der Parse Key Response Vorgang identifiziert Datensätze, die älter als sieben Tage sind, und das Delete Key Skript entfernt sie.

Workflow-Trigger des Projekts

Der Security Alert Agent ist ereignisgesteuert. Die Hauptworkflows für die Ereignisverarbeitung werden automatisch ausgelöst, wenn Wazuh oder Tenable Sicherheitsereignisse an die in Jitterbit Custom APIs erstellen erstellten Jitterbit Custom APIs POSTen.

Alle anderen Workflows werden von vorgelagerten Vorgängen ausgelöst und sind nicht für die unabhängige Ausführung vorgesehen.

Fehlerbehebung

Wenn Probleme auftreten, überprüfe die folgenden Protokolle auf detaillierte Informationen zur Fehlerbehebung:

• API-Protokolle
• Vorgangsprotokolle

Für weitere Unterstützung wende dich an den Jitterbit-Support.