siem-triage-35b-th

Это тайско-английская модель для разбора сырых логов WAF (nginx + ModSecurity) и NDR (Zeek). Fine-tune от Qwen/Qwen3.6-35B-A3B через LoRA; старшая в семействе 4B/9B/35B и заявлена как production-вариант. Возвращает JSON с категорией инцидента, severity, тайским summary и рекомендацией.

🧩 Ключевые особенности

• 🛑 WAF-триаж: blocked_by_firewall, blocked_by_waf, passed_no_impact, passed_needs_review, false_positive, benign.
• 🌐 NDR-триаж: intel_inbound/outbound, internal_scan, external_ssh_login, protocol_anomaly, perimeter_drop, noise, benign.
• 🧩 В ответе: severity от info до critical, key_evidence, связанные IP, summary_th и action_th.
• 🦾 Round 4 усиливает устойчивость к prompt injection в User-Agent, Referer, URI и request body; ~15% примеров с внедрёнными командами.
• ⚙ Запуск через vLLM с OpenAI-compatible API; FP8-версия ~35GB, с RAG для MITRE ATT&CK — от ~48GB.
• 🫡 Не предназначена для автоматической блокировки: результат должен проверять аналитик.

💡 Пример

vllm serve srandev/siem-triage-35b-th --served-model-name siem --max-model-len 16384 \
  --reasoning-parser qwen3 --limit-mm-per-prompt '{"image":0,"video":0}'

Подробнее

Бенчмарки round 4: фильтрация логов 95.0%; SOC verdict 86.8% на публичных 72 кейсах и 84.4% на наборе B. В round 3 было 94.4% / 84.7% / 90.6%.
Prompt injection: на знакомых текстах 3/80 против 5/80 в round 3; на тайских 1/80, на публичных 3/80. Защита частичная — нужны внешний фильтр, обёртка логов и ручное утверждение.
Ограничения: обучение на трафике одной среды, возможны сбои тайского, риск запоминания фрагментов train-данных.