OpenAI 및 Microsoft Sentinel 3부: DaVinci 및 Turbo

OpenAI의 LLM(대형 언어 모델) 및 Microsoft Sentinel 시리즈에 다시 오신 것을 환영합니다. 첫 번째 부분에서는 이벤트에서 발견된 MITRE ATT&CK 전술을 설명하기 위해 OpenAI 및 Sentinel에 내장된 Azure Logic Apps 커넥터를 사용하여 기본 플레이북을 구축하고 온도 및 온도와 같이 OpenAI 모델에 영향을 미칠 수 있는 다양한 매개 변수에 대해 논의했습니다. 주파수 처벌. 다음으로 Sentinel의 REST API를 사용하여 이 기능을 확장하여 예약된 분석 규칙을 찾고 규칙 탐지 논리의 요약을 반환합니다.

주의를 기울이셨다면 첫 번째 플레이북에서 Sentinel 이벤트의 MITRE ATT&CK 전술을 찾지만 GPT3 팁에는 이벤트 기술이 포함되어 있지 않다는 점을 눈치채셨을 것입니다. 왜 안 돼? 자, OpenAI API Playground를 실행하고 토끼굴 속으로 여행을 떠나봅시다(Lewis Carroll에게 사과드립니다). ... 다음 MITRE ATT&CK 전술 및 기술이 설명됩니다: ["DefenseEvasion"], ["T1564"]"

• 첫 번째 결과는 다음과 같습니다.
• 이것은 MITRE ATT&CK Tactic TA0005에 대한 훌륭한 리뷰입니다. ,방어회피 요약은 잘됐는데, 기술적인 설명은 어떤가요? T1564는 다른 명명된 기술 중 아티팩트 숨기기 - 프로세스 주입(T1055) 및 루트킷(T1014)입니다. 다시 해보자.
• 아주 멀다! "원격 서비스 활용"은 측면 이동 전략의 기술 T1210입니다. 또:
• 그래서 무슨 일이 일어났나요? ChatGPT가 이보다 낫지 않나요? !

그렇습니다. ChatGPT는 MITRE ATT&CK 기술 코드를 요약하는 데 정말

훌륭하지만

, 아직 이에 대해 질문하지 않았습니다. 우리는 텍스트 완성 모드에서 OpenAI의 다른 최상위 생성 사전 학습 Transformer-3.5(GPT-3.5) 모델 "text-davinci-003"을 사용해 왔습니다. ChatGPT는 채팅 완료 모드에서 "gpt-3.5-turbo" 모델을 사용합니다. 큰 차이. 다음은 위와 동일한 쿼리에 대한 ChatGPT의 응답 예입니다.

하지만 Azure Logic App의 OpenAI 커넥터는 채팅 기반 작업을 제공하지 않으며 터보 모델을 선택할 수 없습니다. 그렇다면 어떻게 ChatGPT를 가져올 수 있습니까? Sentinel 워크플로에 대해 알아볼까요? Sentinel REST API의 HTTP 작업을 직접 호출하기 위해 Part II에서 Sentinel Logic App Connector를 닫은 것처럼 OpenAI의 API에서도 동일한 작업을 수행할 수 있습니다. 텍스트 완성 모델 대신 채팅 모델을 사용하는 Logic Apps 워크플로를 구축하는 프로세스를 살펴보겠습니다.

OpenAI의 두 가지 참조 문서인 Chat Creation API Reference와 Chat Completion Guide를 참고하겠습니다. 이 블로그 게시물을 적당한 길이로 유지하기 위해 사용자 환경에서 예제를 복제하는 데 필요한 몇 가지 설정 작업을 요약하겠습니다.

OpenAI API 자격 증명을 저장하기 위한 Key Vault

인증 방법 논리 앱이 Key Vault에서 비밀을 읽는 방법(Azure RBAC에서 관리 ID를 사용하는 것이 좋습니다)

논리 앱이 네트워크 액세스를 통해 Key Vault에 연결할 수 있도록 허용합니다(적절한 Azure 지역 IP 주소에 정의된 커넥터를 사용하고 CIDR 범위)

이제 논리 앱 디자이너를 열고 기능 구축을 시작해 보겠습니다. 이전과 마찬가지로 Microsoft Sentinel 이벤트 트리거를 사용하고 있습니다. 그런 다음 Key Vault 작업 "비밀 가져오기"를 실행하여 API 키가 저장될 비밀 이름을 지정합니다.

다음으로 API 요청에 대한 일부 변수를 초기화하고 설정해야 합니다. 이는 꼭 필요한 것은 아닙니다. 간단히 HTTP 작업에 요청을 작성할 수 있지만 나중에 프롬프트 및 기타 매개변수를 변경하는 것이 훨씬 쉬워집니다. OpenAI Chat API 호출에 필요한 두 가지 매개 변수는 "model"과 "message"이므로 모델 이름을 저장하기 위한 문자열 변수와 메시지에 대한 배열 변수를 초기화하겠습니다.

• "message" 매개변수는 채팅 모델의 주요 입력입니다. 이는 각각 "시스템" 또는 "사용자"와 같은 역할과 콘텐츠를 갖는 메시지 개체 집합으로 구성됩니다. Playground의 예를 살펴보겠습니다.

• 시스템 객체를 사용하면 이 채팅 세션에 대한 AI 모델의 행동 컨텍스트를 설정할 수 있습니다. User 개체는 우리의 질문이고 모델은 Assistant 개체로 응답합니다. 원하는 경우 User 및 Assistant 개체에 이전 응답을 포함하여 AI 모델에 "대화 기록"을 제공할 수 있습니다.

  논리 앱 디자이너로 돌아가서 두 개의 "배열 변수에 추가" 작업과 하나의 "변수 초기화" 작업을 사용하여 "메시지" 배열을 작성했습니다.

  

  이 모든 작업은 한 단계로 완료되었지만 나는 각 물체를 개별적으로 폭발시키기로 결정했습니다. 프롬프트를 수정하려면 Prompt 변수만 업데이트하면 됩니다.

  다음으로 온도 매개변수를 매우 낮은 값으로 조정하여 AI 모델을 더욱 결정적으로 만들어 보겠습니다. "부동" 변수는 이 값을 저장하는 데 이상적입니다.

  

  마지막으로 다음과 같은 HTTP 작업으로 결합해 보겠습니다.

  • Method: Mail
  • Type: https://api.openai.com/v1/chat/completions
  • Body:

    {"model": @{variables('model')},"messages": @{variables('messages')},"temperature": @{variables('temperature')}}​

  • 인증: 원시
    • 값:

      Bearer @{body('Get_OpenAI_API_token_from_Key_Vault')?['value']}​

  

  이전과 마찬가지로 이 플레이북을 댓글 작업 없이 실행하여 다시 연결하기 전에 완료되었는지 확인하겠습니다. Sentinel 인스턴스 이전에는 모든 것이 괜찮았습니다. 모든 것이 순조롭게 진행되면 보조 메시지에서 200 상태 코드와 MITRE ATT&CK 전술 및 기술에 대한 훌륭한 요약을 받게 됩니다.

  

  이제 Sentinel 커넥터를 사용하여 이벤트 댓글을 추가하는 쉬운 부분이 생겼습니다. Parse JSON 작업을 사용하여 응답 본문을 구문 분석한 다음 ChatGPT 응답의 텍스트로 변수를 초기화하겠습니다. 응답 형식을 알고 있으므로 다음 표현식을 사용하여 인덱스 0의 Choices 항목에서 응답을 추출할 수 있다는 것을 알고 있습니다.

  @{body('Parse_JSON')?['choices']?[0]?['message']?['content']}

  

  다음은 완성된 논리 앱 흐름의 조감도입니다.

  

  해 보자! OpenAI 및 Sentinel 시리즈의 첫 번째 부분에 이 플레이북의 이전 반복에 대한 의견을 포함시켰습니다. DaVinci 텍스트 완성의 출력을 Turbo 모델의 채팅 상호 작용과 비교하는 것은 흥미로웠습니다.

  

위 내용은 OpenAI 및 Microsoft Sentinel 3부: DaVinci 및 Turbo의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!