BlueTriage — «швейцарский нож» для тех, кому лень настраивать полноценный SIEM

29 декабря. / securitylab.ru /. На GitHub появился BlueTriage — простой инструмент для быстрого разбора логов Windows, который берёт события безопасности в формате JSON, приводит их к единой схеме и прогоняет через набор простых правил, а на выходе отдаёт файл с алертами и HTML-отчёт для первичного анализа инцидента.

По сути, BlueTriage пытается закрыть типичную боль реагирования: когда логи уже выгружены, но их нужно быстро привести к понятному виду и вытащить «красные флажки» без тяжёлых SIEM-процессов и долгой настройки. В текущем MVP автор заложил цепочку «инджест → нормализация → детекты → экспорт», чтобы можно было прогнать набор событий одной командой и получить читаемый результат для ревью.

В стартовой комплектации есть несколько правил под популярные сценарии из Security-лога Windows: неудачные попытки входа (4625), создание пользователя (4720), добавление в привилегированные группы (4728/4732) и создание запланированной задачи (4698). Каждое правило помечено уровнем критичности и привязано к техникам MITRE ATT&CK (например, T1110 для перебора паролей и T1053.005 для планировщика задач), чтобы алерты проще было «приклеивать» к знакомым моделям атак.

Запуск сейчас заточен под Windows и виртуальное окружение Python: установка из репозитория, команда для сканирования JSON-файла с событиями и отдельная команда для генерации HTML-отчёта. Судя по описанию репозитория, проект написан на Python, а для шаблонов отчёта используется Jinja.

В планах у автора — поддержка EVTX (чтобы можно было кормить инструмент напрямую экспортом журналов Windows), переход на YAML-правила в духе «Sigma-lite», скоринг и сортировка по оценке (High → Low), а также Markdown-отчёты, удобные для тикетов.

Фишинг - эффект от GenAI
IBM X-Force Threat Intelligence Index 2024 (https://newsletter.radensa.ru/wp-content/uploads/2024/03/IBM-XForce-Threat-Intelligence-Index-2024.pdf): у IBM в эксперименте среднее время на подготовку фишингового письма человеком оценено в ~16 часов, а с использованием генеративного ИИ — ~5 минут

Heiding et al. (https://arxiv.org/pdf/2308.12287) “Devising and detecting phishing emails…” (модель + экономический расчёт): авторы оценивают, что для 112 “жертв” подготовка фишингового письма в «классическом» сценарии занимает ~590 минут, а при AI-генерации — тоже ~5 минут

Hazell (https://arxiv.org/pdf/2305.06972) “Spear Phishing with Large Language Models”: в описании эксперимента указано, что 1 000 писем было сгенерировано менее чем за 2 часа (то есть менее 1 минуты на письмо)


Кибератаки - эффект от GenAI
PoCGen (https://arxiv.org/html/2506.04962v3): при генерации proof-of-concept эксплойтов для npm-уязвимостей среднее время одной попытки — ~11 минут, а успешные прогоны завершаются в среднем за ~7 минут. Авторы отдельно отмечают, что существенная доля времени (41%) уходит на вызовы LLM и что использование более быстрых/локальных моделей может дополнительно снизить время

Как начать карьеру в кибербезе и стоит ли это вообще делать?

Кибербезопасность – уже не модное словечко из презентации, а одна из самых быстрорастущих сфер, а безопасник – актуальнейшая профессия последних лет. Если вы хоть раз задумывались, стоит ли в нее идти, то это статья для вас.

https://www.itsec.ru/articles/kak-nachat-kareru-v-kiberbeze

superagent - https://github.com/superagent-ai/superagent

Superagent provides purpose-trained guardrails that make AI-agents secure and compliant. Purpose-trained models that secure your applications and keep them compliant with low-latency, production-ready performance.

#MLSecOps
#Red_Team_Tactics
"From Rookie to Expert: Manipulating LLMs for Automated Vulnerability Exploitation in Enterprise Software", Dec. 2025.
]-> All data, source code, and instructions

// We show in this work how publicly available LLMs can be socially engineered to transform novices into capable attackers, challenging the foundational principle that exploitation requires technical expertise. To that end, we propose RSA (Role-assignment, Scenario-pretexting, and Action-solicitation), a pretexting strategy that manipulates LLMs into generating functional exploits despite their safety mechanisms