Agente de Alerta de Segurança do Jitterbit

Visão geral

O Jitterbit fornece o Agente de Alerta de Segurança aos clientes através do Jitterbit Marketplace. Este agente foi projetado para reduzir o volume de alertas de segurança redundantes, acelerar a resposta a ameaças e melhorar a qualidade das decisões em toda a infraestrutura de segurança da sua organização. O agente atua como um plano de controle de segurança assistivo: recebe eventos de segurança do Wazuh e Tenable via webhooks de API, utiliza IA para analisar e classificar cada evento, e fornece notificações estruturadas por meio de Slack e email.

Quando um evento de segurança é detectado, o agente analisa o payload recebido, o encaminha para o manipulador apropriado e envia o evento para um LLM para análise. O LLM normaliza a severidade, mascara dados sensíveis, classifica o evento como relatório de incidente, alerta ou resumo, e produz conteúdo de notificação formatado. O agente então verifica o Jitterbit Cloud Datastore para eliminar eventos duplicados antes de publicar uma notificação no Slack e enviar um alerta por email para os destinatários configurados. Um fluxo de trabalho agendado remove automaticamente registros do Cloud Datastore com mais de sete dias para manter o estado limpo.

O agente executa as seguintes tarefas:

Recebe payloads de eventos de segurança do Wazuh e Tenable via endpoints de webhook de API.
Encaminha eventos para o manipulador apropriado com base no sistema de origem.
Utiliza IA para normalizar a severidade do evento, mascarar dados sensíveis e classificar eventos como relatórios de incidente, alertas ou resumos.
Elimina eventos duplicados usando Cloud Datastore para reduzir notificações repetidas para o mesmo evento.
Envia alertas de segurança estruturados via Slack e email.
Remove automaticamente registros do Cloud Datastore com mais de sete dias.

Este documento explica como configurar e operar este agente de IA. Ele aborda arquitetura, pré-requisitos e etapas para instalar, configurar e operar o agente de IA.

Arquitetura do agente de IA

Este agente de IA opera como um processador de eventos de segurança headless acionado por plataformas de monitoramento de segurança externas. Um evento de segurança típico é tratado da seguinte forma:

Um evento de segurança no Wazuh ou Tenable aciona uma solicitação POST para o serviço de API personalizado do agente (/wazuh ou /tenable).
A operação API Request Handler analisa a origem do evento a partir do parâmetro de query eventresource da solicitação, e uma operação Event Trigger encaminha a solicitação para o manipulador de eventos do Wazuh ou Tenable.
A operação AI Manager coordena com o fluxo de trabalho Main - AI Agent Logic para preparar o payload do evento e enviá-lo para um LLM.
O LLM analisa o evento, normaliza sua severidade (Low, Medium, High ou Critical), aplica mascaramento de dados sensíveis, classifica o tipo de evento e retorna uma resposta estruturada contendo conteúdo formatado tanto para a notificação do Slack quanto para o alerta por email.
O Main Workflow verifica o Cloud Datastore para determinar se este evento já foi registrado.
Se o evento for novo, um registro é inserido no Cloud Datastore. Se o evento já existe, sua contagem de deduplicação é incrementada.
Uma notificação do Slack e um alerta por email são enviados para os destinatários configurados.
De forma diária, um fluxo de trabalho de limpeza remove registros do Cloud Datastore com mais de sete dias.

Diagrama de fluxo de trabalho

O diagrama a seguir mostra o fluxo de trabalho de tratamento de solicitações principal do Agente de Alerta de Segurança.

--- config: themeVariables: lineColor: '#6b7280' edgeLabelBackground: '#f5f5f5' flowchart: padding: 20 nodeSpacing: 80 --- flowchart LR classDef default fill:white, stroke:black, stroke-width:3px, rx:15px, ry:15px WAZUH[Wazuh] TENABLE[Tenable] JSP@{ shape: hex, label: "
Security Alert
Agent" } LLM[fas:fa-brain
LLM] CDS@{ shape: hex, label: "fas:fa-database
Cloud Datastore" } SLACK[fab:fa-slack
Slack] EMAIL[fas:fa-envelope
Email] SCHED@{ shape: delay, label: "Operation schedule
(daily)" } WAZUH -->|1. Security event| JSP TENABLE -->|1. Security event| JSP JSP <-->|2. Analyze event| LLM JSP <-->|3. Deduplicate event| CDS JSP -->|4. Post notification| SLACK JSP -->|5. Send alert| EMAIL SCHED -->|6. Cleanup trigger| JSP

Pré-requisitos

Você precisa dos seguintes componentes para usar este agente de IA.

Componentes do Harmony

Você deve ter uma licença do Jitterbit Harmony com acesso aos seguintes componentes:

Jitterbit Studio
Jitterbit API Manager
Jitterbit Cloud Datastore
Agente de Alerta de Segurança do Jitterbit adquirido como complemento de licença

Endpoints suportados

O agente de IA se conecta aos seguintes endpoints. Você pode acomodar outros sistemas modificando as configurações de endpoint e workflows do projeto.

Modelo de linguagem grande (LLM)

O agente de IA usa OpenAI como provedor de LLM para análise de eventos de segurança e geração de notificações. Para usar o OpenAI, você precisa ter uma conta OpenAI com uma chave de API.

Dica

Para selecionar planos de preços com base em seus requisitos específicos e uso previsto, consulte Preços do OpenAI.

Fontes de eventos de segurança

O agente aceita payloads de eventos de segurança via POST das seguintes plataformas:

Wazuh: O agente expõe um endpoint de API /wazuh. O Wazuh deve ser configurado para fazer POST de eventos de segurança para a URL do serviço deste endpoint.
Tenable: O agente expõe um endpoint de API /tenable. O Tenable deve ser configurado para fazer POST de eventos de segurança para a URL do serviço deste endpoint.

Ambas as APIs são criadas em Criar as APIs personalizadas do Jitterbit.

Slack

O agente fornece notificações de segurança a um canal Slack. Você precisa ter um espaço de trabalho Slack e um bot Slack com um Token OAuth de usuário de bot válido.

Email

O agente fornece alertas de segurança por email usando SMTP. Você precisa ter acesso a um servidor SMTP e credenciais válidas para a conta usada para enviar notificações.

Cloud Datastore

O agente usa o Jitterbit Cloud Datastore para manter o estado de deduplicação de eventos e armazenar payloads de resposta para referência futura. O Cloud Datastore faz parte da plataforma Jitterbit Harmony e não requer uma conta de serviço separada, mas o número de armazenamentos de chaves disponíveis depende do nível do Cloud Datastore adquirido pela sua organização.

Instalação, configuração e operação

Siga estas etapas para instalar, configurar e operar este agente de IA:

Baixar e instalar o projeto
Obter credenciais do OpenAI
Preparar o Cloud Datastore
Configurar o bot Slack
Configurar variáveis de projeto
Testar conexões
Implantar o projeto
Criar as APIs personalizadas do Jitterbit
Revisar workflows do projeto
Acionar workflows do projeto

Para orientação sobre resolução de problemas, consulte Resolução de problemas.

Baixar e instalar o projeto

Siga estas etapas para instalar o projeto do Studio para o agente de IA:

Faça login no portal Harmony em https://login.jitterbit.com e abra Marketplace.
Localize o agente de IA chamado Jitterbit Security Alert Agent. Para localizá-lo, use a barra de pesquisa ou, no painel Filters em Type, selecione AI Agent para limitar a exibição apenas aos agentes de IA.
Clique no link Documentation do agente para abrir sua documentação em uma aba separada. Mantenha a aba aberta para consultar depois de iniciar o projeto.
Clique em Start Project para abrir um diálogo de configuração.

Nota

Se você ainda não adquiriu o agente de IA, Get agent será exibido. Clique nele para abrir um diálogo informativo e, em seguida, clique em Submit para que um representante entre em contato com você sobre a compra do agente de IA.
No diálogo Create a New Project, selecione um ambiente onde o projeto do Studio será criado e clique em Create Project.
Após o diálogo de progresso indicar que o projeto foi criado, use o link do diálogo Go to Studio ou abra o projeto diretamente na página Projects do Studio.

Obter credenciais do OpenAI

Para usar o OpenAI como provedor de LLM, você deve ter uma conta OpenAI com uma chave de API ativa:

Faça login no OpenAI e navegue até API keys.
Crie uma nova chave de API e retenha-a para uso nas variáveis de projeto do OpenAI.
Anote a URL base para a API do OpenAI (normalmente https://api.openai.com/v1) e o modelo que você pretende usar para análise de eventos de segurança (por exemplo, gpt-4o).

Preparar o Cloud Datastore

Crie um armazenamento de chaves no Jitterbit Cloud Datastore denominado AI Security. Os campos Key, AlternativeKey e Value estão presentes por padrão. Adicione os seguintes campos personalizados:

AI Security

Nome do campo	Tipo	Descrição
`Key`	Text	Preenchido automaticamente. O ID do evento de segurança, usado para detectar eventos duplicados.
`AlternativeKey`	Text	Não utilizado.
`Value`	Text	Não utilizado.
`count`	Text	Preenchido automaticamente. O número de vezes que o evento foi detectado (a contagem de deduplicação).
`message`	Big Text	Preenchido automaticamente. A mensagem de notificação formatada, armazenada para referência futura.

Mantenha o token de acesso do Cloud Datastore para uso em variáveis de projeto do Cloud Datastore.

Configurar o bot do Slack

Siga as etapas abaixo para configurar o Slack para notificações de segurança:

No seu espaço de trabalho do Slack, crie ou identifique um aplicativo Slack a ser usado para postar notificações. Para criar um novo aplicativo, consulte a documentação da API do Slack.
Certifique-se de que o aplicativo possui o escopo OAuth chat:write para postar mensagens em canais.
Instale o aplicativo no seu espaço de trabalho.
Obtenha o token do bot e mantenha-o para a variável de projeto slack.oauth.access.token.
Identifique ou crie o canal do Slack onde as notificações de segurança devem ser postadas e anote o nome do canal.

Configurar variáveis de projeto

No projeto do Studio instalado pelo Marketplace, defina valores para as seguintes variáveis de projeto.

Para configurar variáveis de projeto, use o menu de ações do projeto e selecione Project Variables para abrir a gaveta de configuração.

OpenAI

Nome da variável	Descrição
`openai.apiKey`	Chave de API para autenticação com o serviço OpenAI.
`openai.base.url`	URL base para a API OpenAI (por exemplo, `https://api.openai.com/v1`).
`gpt.model`	O modelo OpenAI a ser usado para análise de eventos de segurança (por exemplo, `gpt-5`).

Slack

Nome da variável	Descrição
`slack.channel.name`	O nome do canal do Slack onde as notificações de segurança são postadas.
`slack.oauth.access.token`	O Bot User OAuth Token do aplicativo Slack usado para postar notificações.

Email

Nome da variável	Descrição
`email.to`	Endereço de e-mail do destinatário para notificações de alerta de segurança.
`email.from`	Endereço de e-mail do remetente usado nas notificações de segurança de saída.
`email.smtp.host`	Nome de host do servidor SMTP usado para enviar notificações (por exemplo, `smtp.gmail.com`).
`email.smtp.username`	Nome de usuário da conta SMTP usada para enviar notificações.
`email.smtp.password`	Senha da conta SMTP usada para enviar notificações.

Cloud Datastore

Nome da variável	Descrição
`cloud.datastore.access.token`	Token de acesso do Jitterbit Cloud Datastore, usado para deduplicação de eventos e armazenamento de payload.

Testar conexões

Teste as configurações do endpoint para verificar a conectividade usando os valores de variáveis de projeto definidos.

Para testar as conexões, acesse a aba Endpoints e conectores do projeto na paleta de componentes de design, passe o mouse sobre cada endpoint e clique em Teste.

Implante o projeto

Implante o projeto do Studio.

Para implantar o projeto, use o menu ações do projeto e selecione Implantar.

Crie as APIs customizadas do Jitterbit

Crie duas APIs customizadas usando o API Manager para expor os pontos de entrada de tratamento de eventos do agente para Wazuh e Tenable. Ambas as APIs disparam a mesma operação API Request Handler; o parâmetro de consulta eventresource em cada requisição determina qual handler da plataforma de segurança é executado.

API customizada do Wazuh

Configure e publique uma API customizada para Wazuh com os seguintes parâmetros:

Configuração	Valor
Caminho	`/wazuh`
Operação	`API Request Handler`
Método	`POST`
Tipo de resposta	`System Variable`

Após publicar, retenha a URL do serviço. Configure o Wazuh para fazer POST dos eventos de segurança para esta URL, incluindo o parâmetro de consulta eventresource=wazuh.

API customizada do Tenable

Configure e publique uma API customizada para Tenable com os seguintes parâmetros:

Configuração	Valor
Caminho	`/tenable`
Operação	`API Request Handler`
Método	`POST`
Tipo de resposta	`System Variable`

Após publicar, retenha a URL do serviço. Configure o Tenable para fazer POST dos eventos de segurança para esta URL, incluindo o parâmetro de consulta eventresource=tenable.

Analise os fluxos de trabalho do projeto

O projeto do Studio contém quatro fluxos de trabalho que implementam a funcionalidade do Agente de Alerta de Segurança, organizados em dois grupos funcionais.

Processamento de eventos

Fluxo de trabalho	Descrição
Main Entry Workflow - API Request	Recebe requisições de API recebidas do Wazuh e Tenable e as roteia para o manipulador de eventos apropriado.
Main - AI Agent Logic	Orquestra a interação do LLM para análise de eventos de segurança.
Main Workflow	Processa eventos de segurança roteados, realiza deduplicação e envia notificações.

Manutenção

Fluxo de trabalho	Descrição
Delete 7 Days Older Key	Remove registros do Cloud Datastore com mais de sete dias.

Main Entry Workflow - API Request

Este fluxo de trabalho trata todas as requisições de API recebidas das plataformas de segurança externas. A operação API Request Handler analisa a carga útil do evento e extrai a fonte do evento do parâmetro de consulta eventresource da requisição. Uma operação Event Trigger então roteia a execução para o manipulador apropriado: eventos do Wazuh são encaminhados para Wazuh Event Execution e eventos do Tenable são encaminhados para Tenable Event Execution. A operação AI Manager coordena chamadas subsequentes para o fluxo de trabalho Main - AI Agent Logic.

Main - AI Agent Logic

Este fluxo de trabalho gerencia o ciclo de vida completo da interação do LLM para um evento de segurança. A operação AI Logic Controller delega para o script OpenAI prompt controller, que constrói um prompt de sistema estruturado e um prompt de usuário que instruem o LLM sobre normalização de severidade, mascaramento de dados sensíveis e requisitos de formato de saída. Prep OpenAI Payload e Send OpenAI Payload preparam e enviam a requisição. Parse OpenAI Response extrai a saída JSON estruturada do LLM, e Parse AI Response realiza o pós-processamento do resultado no conteúdo final usado tanto para notificação do Slack quanto para alerta de email.

Fluxo de Trabalho Principal

Este fluxo de trabalho processa um evento de segurança após ser analisado pelo LLM. A operação Check If EventID Exist in Cloud Datastore consulta o Cloud Datastore para pesquisar o ID do evento atual. A operação EventID Exists avalia o resultado usando a etapa Decision EventID Exists: se o ID do evento for encontrado (Y), Update EventID incrementa a contagem de deduplicação via Update EventID Count in Cloud Datastore; se não for encontrado (N), Insert EventID adiciona um novo registro via Insert EventID to Cloud Datastore. Após a deduplicação, Post Response to Slack envia a notificação do Slack formatada e Post Notification Email envia o alerta por email.

Excluir Chave com Mais de 7 Dias

Este fluxo de trabalho é executado em um cronograma diário para manter a higiene do Cloud Datastore. A operação Delete 7 Days Older key usa o script Delete Key para calcular a data de sete dias atrás e itera pelas chaves do Cloud Datastore página por página via operação Query all Key. A operação Parse Key Response identifica registros com mais de sete dias e o script Delete Key os remove.

Acione os fluxos de trabalho do projeto

O Security Alert Agent é orientado por eventos. Os fluxos de trabalho de processamento de eventos principais são acionados automaticamente quando Wazuh ou Tenable fazem POST de eventos de segurança para as APIs personalizadas do Jitterbit criadas em Criar as APIs personalizadas do Jitterbit.

Nota

Cronogramas de operação não estão inclusos na exportação do projeto e devem ser configurados manualmente no Studio após a implantação. A operação Delete 7 Days Older key deve ser agendada para ser executada uma vez por dia.

Todos os outros fluxos de trabalho são acionados por operações anteriores e não se destinam a serem executados independentemente.

Solução de Problemas

Se encontrar problemas, consulte os logs a seguir para obter informações detalhadas de solução de problemas:

Para obter assistência adicional, entre em contato com o suporte do Jitterbit.