Saltar al contenido

Agente de Alertas de Seguridad de Jitterbit

Descripción general

Jitterbit proporciona el Agente de Alertas de Seguridad a los clientes a través de Jitterbit Marketplace. Este agente está diseñado para reducir el volumen de alertas de seguridad redundantes, acelerar la respuesta ante amenazas y mejorar la calidad de la toma de decisiones en toda la infraestructura de seguridad de tu organización. El agente actúa como un plano de control de seguridad asistido: recibe eventos de seguridad de Wazuh y Tenable a través de webhooks API, utiliza IA para analizar y clasificar cada evento, y entrega notificaciones estructuradas a través de Slack y correo electrónico.

Cuando se detecta un evento de seguridad, el agente analiza la carga útil entrante, la enruta al manejador apropiado y envía el evento a un LLM para su análisis. El LLM normaliza la gravedad, enmascara datos sensibles, clasifica el evento como informe de incidente, alerta o resumen, y produce contenido de notificación formateado. El agente luego verifica en Jitterbit Cloud Datastore para desduplicar eventos antes de publicar una notificación en Slack y enviar una alerta por correo electrónico a los destinatarios configurados. Un flujo de trabajo programado elimina automáticamente los registros de Cloud Datastore más antiguos que siete días para mantener un estado limpio.

El agente realiza las siguientes tareas:

  • Recibe cargas útiles de eventos de seguridad de Wazuh y Tenable a través de extremos de webhook API.
  • Enruta eventos al manejador apropiado según el sistema de origen.
  • Utiliza IA para normalizar la gravedad del evento, enmascarar datos sensibles y clasificar eventos como informes de incidentes, alertas o resúmenes.
  • Desduplica eventos utilizando Cloud Datastore para reducir notificaciones repetidas del mismo evento.
  • Envía alertas de seguridad estructuradas a través de Slack y correo electrónico.
  • Elimina automáticamente los registros de Cloud Datastore más antiguos que siete días.

Este documento explica cómo configurar y operar este agente de IA. Cubre la arquitectura, los requisitos previos y los pasos para instalar, configurar y operar el agente de IA.

Arquitectura del agente de IA

Este agente de IA funciona como un procesador de eventos de seguridad sin interfaz gráfica activado por plataformas externas de monitoreo de seguridad. Un evento de seguridad típico se maneja de la siguiente manera:

  1. Un evento de seguridad en Wazuh o Tenable activa una solicitud POST al servicio API personalizado del agente (/wazuh o /tenable).
  2. La operación API Request Handler analiza la fuente del evento del parámetro de consulta eventresource de la solicitud, y una operación Event Trigger enruta la solicitud al manejador de eventos de Wazuh o Tenable.
  3. La operación AI Manager coordina con el flujo de trabajo Main - AI Agent Logic para preparar la carga útil del evento y enviarlo a un LLM.
  4. El LLM analiza el evento, normaliza su gravedad (Low, Medium, High o Critical), aplica enmascaramiento de datos sensibles, clasifica el tipo de evento y devuelve una respuesta estructurada que contiene contenido formateado tanto para la notificación de Slack como para la alerta por correo electrónico.
  5. El flujo de trabajo Principal verifica Cloud Datastore para determinar si este evento ya se ha registrado.
  6. Si el evento es nuevo, se inserta un registro en Cloud Datastore. Si el evento ya existe, se incrementa su contador de deduplicación.
  7. Se envían una notificación de Slack y una alerta por correo electrónico a los destinatarios configurados.
  8. Según una programación diaria, un flujo de trabajo de limpieza elimina los registros de Cloud Datastore más antiguos que siete días.

Diagrama del flujo de trabajo

El siguiente diagrama muestra el flujo de trabajo principal de manejo de solicitudes para el Agente de Alertas de Seguridad.

--- config: themeVariables: lineColor: '#6b7280' edgeLabelBackground: '#f5f5f5' flowchart: padding: 20 nodeSpacing: 80 --- flowchart LR classDef default fill:white, stroke:black, stroke-width:3px, rx:15px, ry:15px WAZUH[Wazuh] TENABLE[Tenable] JSP@{ shape: hex, label: "
Security Alert
Agent" } LLM[fas:fa-brain
LLM] CDS@{ shape: hex, label: "fas:fa-database
Cloud Datastore" } SLACK[fab:fa-slack
Slack] EMAIL[fas:fa-envelope
Email] SCHED@{ shape: delay, label: "Operation schedule
(daily)" } WAZUH -->|1. Security event| JSP TENABLE -->|1. Security event| JSP JSP <-->|2. Analyze event| LLM JSP <-->|3. Deduplicate event| CDS JSP -->|4. Post notification| SLACK JSP -->|5. Send alert| EMAIL SCHED -->|6. Cleanup trigger| JSP

Requisitos previos

Necesitas los siguientes componentes para usar este agente de IA.

Componentes de Harmony

Debes tener una licencia de Jitterbit Harmony con acceso a los siguientes componentes:

Extremos compatibles

El agente de IA se conecta a los siguientes endpoints. Puedes adaptar otros sistemas modificando las configuraciones de endpoints y flujos de trabajo del proyecto.

Modelo de lenguaje grande (LLM)

El agente de IA utiliza OpenAI como proveedor de LLM para el análisis de eventos de seguridad y la generación de notificaciones. Para usar OpenAI, debes tener una cuenta de OpenAI con una clave de API.

Consejo

Para seleccionar planes de precios según tus requisitos específicos y uso previsto, consulta Precios de OpenAI.

Fuentes de eventos de seguridad

El agente acepta cargas de eventos de seguridad mediante POST de las siguientes plataformas:

  • Wazuh: El agente expone un endpoint de API /wazuh. Wazuh debe configurarse para hacer POST de eventos de seguridad a la URL del servicio de este endpoint.
  • Tenable: El agente expone un endpoint de API /tenable. Tenable debe configurarse para hacer POST de eventos de seguridad a la URL del servicio de este endpoint.

Ambas APIs se crean en Crear las APIs personalizadas de Jitterbit.

Slack

El agente entrega notificaciones de seguridad a un canal de Slack. Debes tener un espacio de trabajo de Slack y un bot de Slack con un Token OAuth de Usuario Bot válido.

Correo electrónico

El agente entrega alertas de seguridad por correo electrónico usando SMTP. Debes tener acceso a un servidor SMTP y credenciales válidas para la cuenta utilizada para enviar notificaciones.

Cloud Datastore

El agente utiliza Jitterbit Cloud Datastore para mantener el estado de deduplicación de eventos y almacenar cargas de respuesta para referencia futura. Cloud Datastore es parte de la plataforma Jitterbit Harmony y no requiere una cuenta de servicio separada, pero la cantidad de almacenamientos de claves disponibles depende del nivel de Cloud Datastore que haya adquirido tu organización.

Instalación, configuración y operación

Sigue estos pasos para instalar, configurar y operar este agente de IA:

  1. Descargar e instalar el proyecto
  2. Obtener credenciales de OpenAI
  3. Preparar Cloud Datastore
  4. Configurar el bot de Slack
  5. Configurar variables del proyecto
  6. Probar conexiones
  7. Desplegar el proyecto
  8. Crear las APIs personalizadas de Jitterbit
  9. Revisar los flujos de trabajo del proyecto
  10. Activar los flujos de trabajo del proyecto

Para obtener orientación sobre solución de problemas, consulta Solución de problemas.

Descargar e instalar el proyecto

Sigue estos pasos para instalar el proyecto de Studio para el agente de IA:

  1. Inicia sesión en el portal Harmony en https://login.jitterbit.com y abre Marketplace.

  2. Localiza el agente de IA llamado Jitterbit Security Alert Agent. Para encontrar el agente, usa la barra de búsqueda o, en el panel Filters, bajo Type, selecciona AI Agent para limitar la visualización solo a agentes de IA.

  3. Haz clic en el enlace Documentation del agente para abrir su documentación en una pestaña separada. Mantén la pestaña abierta para consultarla después de iniciar el proyecto.

  4. Haz clic en Start Project para abrir un diálogo de configuración.

    Nota

    Si aún no has adquirido el agente de IA, se muestra Get agent. Haz clic en él para abrir un diálogo informativo, luego haz clic en Submit para que un representante se comunique contigo acerca de la compra del agente de IA.

  5. En el diálogo Create a New Project, selecciona un environment donde se creará el proyecto de Studio, luego haz clic en Create Project.

  6. Después de que el diálogo de progreso indique que el proyecto se ha creado, usa el enlace del diálogo Go to Studio o abre el proyecto directamente desde la página Projects de Studio.

Obtener credenciales de OpenAI

Para usar OpenAI como proveedor de LLM, debes tener una cuenta de OpenAI con una clave de API activa:

  1. Inicia sesión en OpenAI y navega a API keys.
  2. Crea una nueva clave de API y guárdala para usarla en las variables del proyecto de OpenAI.
  3. Anota la URL base para la API de OpenAI (generalmente https://api.openai.com/v1) y el modelo que tienes intención de usar para el análisis de eventos de seguridad (por ejemplo, gpt-4o).

Preparar Cloud Datastore

Crea un almacenamiento de claves en Jitterbit Cloud Datastore llamado AI Security. Los campos Key, AlternativeKey y Value están presentes por defecto. Agrega los siguientes campos personalizados:

AI Security

Nombre del campo Tipo Descripción
Key Texto Se completa automáticamente. El ID del evento de seguridad, se utiliza para detectar eventos duplicados.
AlternativeKey Texto No se utiliza.
Value Texto No se utiliza.
count Texto Se completa automáticamente. La cantidad de veces que se ha detectado el evento (el recuento de deduplicación).
message Texto grande Se completa automáticamente. El mensaje de notificación formateado, se almacena como referencia futura.

Conserva el token de acceso de Cloud Datastore para utilizarlo en las variables de proyecto de Cloud Datastore.

Configurar el bot de Slack

Sigue estos pasos para configurar Slack para notificaciones de seguridad:

  1. En tu área de trabajo de Slack, crea o identifica una aplicación de Slack para utilizar en las notificaciones. Para crear una nueva aplicación, consulta la documentación de la API de Slack.

  2. Asegúrate de que la aplicación tenga el alcance OAuth chat:write para publicar mensajes en canales.

  3. Instala la aplicación en tu área de trabajo.

  4. Obtén el token del bot y consérvalo para la variable de proyecto slack.oauth.access.token.

  5. Identifica o crea el canal de Slack donde se deben publicar las notificaciones de seguridad y anota el nombre del canal.

Configurar variables de proyecto

En el proyecto de Studio instalado desde Marketplace, establece valores para las siguientes variables de proyecto.

Para configurar variables de proyecto, utiliza el menú de acciones del proyecto y selecciona Project Variables (Variables de proyecto) para abrir el panel de configuración.

OpenAI

Nombre de la variable Descripción
openai.apiKey Clave de API para autenticar con el servicio OpenAI.
openai.base.url URL base para la API de OpenAI (por ejemplo, https://api.openai.com/v1).
gpt.model El modelo de OpenAI que se utilizará para el análisis de eventos de seguridad (por ejemplo, gpt-5).

Slack

Nombre de la variable Descripción
slack.channel.name El nombre del canal de Slack donde se publican las notificaciones de seguridad.
slack.oauth.access.token El token OAuth del usuario bot para la aplicación de Slack que se utiliza para publicar notificaciones.

Correo electrónico

Nombre de la variable Descripción
email.to Dirección de correo electrónico del destinatario para las notificaciones de alertas de seguridad.
email.from Dirección de correo electrónico del remitente utilizada en las notificaciones de seguridad salientes.
email.smtp.host Nombre del host del servidor SMTP utilizado para enviar notificaciones (por ejemplo, smtp.gmail.com).
email.smtp.username Nombre de usuario de la cuenta SMTP utilizada para enviar notificaciones.
email.smtp.password Contraseña de la cuenta SMTP utilizada para enviar notificaciones.

Cloud Datastore

Nombre de la variable Descripción
cloud.datastore.access.token Token de acceso para Jitterbit Cloud Datastore, se utiliza para la deduplicación de eventos y el almacenamiento de cargas útiles.

Probar conexiones

Prueba las configuraciones del endpoint para verificar la conectividad usando los valores de variables de proyecto definidos.

Para probar conexiones, ve a la pestaña Puntos de conexión del proyecto y conectores en la paleta de componentes de diseño, pasa el cursor sobre cada punto de conexión y haz clic en Probar.

Implementar el proyecto

Implementa el proyecto de Studio.

Para implementar el proyecto, utiliza el menú acciones del proyecto y selecciona Implementar.

Crear las API personalizadas de Jitterbit

Crea dos API personalizadas usando API Manager para exponer los puntos de entrada de manejo de eventos del agente a Wazuh y Tenable. Ambas API activan la misma operación API Request Handler; el parámetro de consulta eventresource en cada solicitud determina qué controlador de la plataforma de seguridad se ejecuta.

API personalizada de Wazuh

Configura y publica una API personalizada para Wazuh con los siguientes parámetros:

Configuración Valor
Ruta /wazuh
Operación API Request Handler
Método POST
Tipo de respuesta System Variable

Después de publicar, conserva la URL del servicio. Configura Wazuh para enviar eventos de seguridad a esta URL, incluyendo el parámetro de consulta eventresource=wazuh.

API personalizada de Tenable

Configura y publica una API personalizada para Tenable con los siguientes parámetros:

Configuración Valor
Ruta /tenable
Operación API Request Handler
Método POST
Tipo de respuesta System Variable

Después de publicar, conserva la URL del servicio. Configura Tenable para enviar eventos de seguridad a esta URL, incluyendo el parámetro de consulta eventresource=tenable.

Revisar flujos de trabajo del proyecto

El proyecto de Studio contiene cuatro flujos de trabajo que implementan la funcionalidad del Agente de Alertas de Seguridad, organizados en dos grupos funcionales.

Procesamiento de eventos

Flujo de trabajo Descripción
Flujo de Trabajo Principal - Solicitud de API Recibe solicitudes de API entrantes de Wazuh y Tenable y las enruta al controlador de eventos apropiado.
Principal - Lógica del Agente de IA Orquesta la interacción de LLM para el análisis de eventos de seguridad.
Flujo de Trabajo Principal Procesa eventos de seguridad enrutados, realiza deduplicación y envía notificaciones.

Mantenimiento

Flujo de trabajo Descripción
Eliminar Clave Más Antigua de 7 Días Elimina registros de Cloud Datastore más antiguos de siete días.
Flujo de Trabajo Principal - Solicitud de API

Este flujo de trabajo maneja todas las solicitudes de API entrantes de plataformas de seguridad externas. La operación API Request Handler analiza la carga del evento y extrae la fuente del evento del parámetro de consulta eventresource de la solicitud. Una operación Event Trigger enruta la ejecución al controlador apropiado: los eventos de Wazuh se reenvían a Wazuh Event Execution y los eventos de Tenable se reenvían a Tenable Event Execution. La operación AI Manager coordina las llamadas posteriores al flujo de trabajo Principal - Lógica del Agente de IA.

Principal - Lógica del Agente de IA

Este flujo de trabajo gestiona el ciclo de vida completo de interacción de LLM para un evento de seguridad. La operación AI Logic Controller delega al script OpenAI prompt controller, que construye un mensaje de sistema estructurado y un mensaje de usuario que instruyen al LLM sobre normalización de severidad, enmascaramiento de datos sensibles y requisitos de formato de salida. Prep OpenAI Payload y Send OpenAI Payload preparan y envían la solicitud. Parse OpenAI Response extrae la salida JSON estructurada del LLM, y Parse AI Response post-procesa el resultado en el contenido final utilizado tanto para la notificación de Slack como para la alerta por correo electrónico.

Flujo de trabajo principal

Este flujo de trabajo procesa un evento de seguridad después de haber sido analizado por el LLM. La operación Check If EventID Exist in Cloud Datastore consulta Cloud Datastore para buscar el ID del evento actual. La operación EventID Exists luego evalúa el resultado usando el paso Decision EventID Exists: si se encuentra el ID del evento (Y), Update EventID incrementa el contador de deduplicación a través de Update EventID Count in Cloud Datastore; si no se encuentra (N), Insert EventID añade un nuevo registro a través de Insert EventID to Cloud Datastore. Después de la deduplicación, Post Response to Slack envía la notificación de Slack formateada y Post Notification Email envía la alerta por correo electrónico.

Eliminar clave anterior a 7 días

Este flujo de trabajo se ejecuta diariamente según un calendario para mantener la higiene de Cloud Datastore. La operación Delete 7 Days Older key utiliza el script Delete Key para calcular la fecha de hace siete días e itera a través de las claves de Cloud Datastore página por página a través de la operación Query all Key. La operación Parse Key Response identifica registros anteriores a siete días, y el script Delete Key los elimina.

Activar los flujos de trabajo del proyecto

Security Alert Agent funciona por eventos. Los flujos de trabajo principales de procesamiento de eventos se activan automáticamente cuando Wazuh o Tenable envían eventos de seguridad mediante POST a las API personalizadas de Jitterbit creadas en Crear las API personalizadas de Jitterbit.

Nota

Las programaciones de operación no se incluyen en la exportación del proyecto y deben configurarse manualmente en Studio después de la implementación. La operación Delete 7 Days Older key debe programarse para ejecutarse una vez al día.

Todos los demás flujos de trabajo se activan mediante operaciones previas y no están diseñados para ejecutarse de forma independiente.

Solución de problemas

Si encuentras problemas, revisa los siguientes registros para obtener información detallada de solución de problemas:

Para obtener asistencia adicional, contacta al soporte de Jitterbit.