siem-triage-4b-th

Модель для первичной сортировки логов безопасности SIEM/SOC на тайском языке. Это LoRA-файнтюн Qwen/Qwen3.5-4B на 4,54 млрд параметров — младшая версия в семействе 4B/9B/35B. Читает сырые логи WAF (nginx + ModSecurity) и NDR (Zeek), возвращает JSON с категорией инцидента, severity, тайским резюме и рекомендацией.

1⃣ Ключевые особенности

• 1⃣ Разметка WAF: blocked_by_firewall, blocked_by_waf, passed_no_impact, passed_needs_review, false_positive, benign.
• 2⃣ NDR-категории: intel_inbound/outbound_*, internal_scan, external_ssh_login, protocol_anomaly, perimeter_drop, noise, benign.
• 3⃣ В JSON отдаёт severity (info–critical), key_evidence, связанные IP, summary_th и action_th.
• 4⃣ Учит отделять ложные срабатывания — админов, crawler, CDN beacon, ссылки — от атак; не советует блокировать внутренние IP.
• 5⃣ Обучена не выполнять инструкции, спрятанные в логах, и отвечать только JSON.
• 6⃣ Запуск через vLLM; FP8 ~5,2 ГБ, рекомендуется GPU ~8 ГБ.

▶ Пример

vllm serve rokoman/siem-triage-4b-th \
  --served-model-name siem --max-model-len 8192 \
  --reasoning-parser qwen3 \
  --limit-mm-per-prompt '{"image":0,"video":0}'

Подробнее

На тесте из 1 377 логов: 94,3% прошли все критерии, скорость 2,02 кейса/с при c=16, SOC verdict — 68,6% на публичном наборе и 78,1% на наборе B.
FP8 ~5,2 ГБ, рекомендуется карта ~8 ГБ; модель для сортировки логов, глубокий SOC-анализ лучше отдавать старшим 9B/35B.
Обучение: LoRA r=16, 1 эпоха, max length 6144; логи псевдонимизированы, проверяли утечки.
Ограничения: один тип окружения, возможны сбои тайского, файнтюн может запоминать фрагменты данных.
Не предназначена для авто-блокировок без проверки аналитиком. Лицензия Apache-2.0.