AI based WAZUH alert classifier and analyer using LLM

Abstract

The increasing volume and complexity of security alerts generated by modern SIEM systems pose a significant challenge for Security Operations Centers (SOC), particularly in distinguishing true positives from false positives and prioritizing incident response. This project proposes an intelligent pipeline designed to enhance the analysis of Wazuh alerts by leveraging fine-tuned large language models (LLMs). The proposed system is centered around a fine-tuned LLM that performs the primary classification of alerts as true positives or false positives based on their contextual and semantic content. Beyond binary classification, the model is further utilized to conduct in-depth analysis of confirmed alerts, including the identification of attack patterns and the generation of relevant incident response (IR) actions. To improve robustness and handle uncertainty, the pipeline incorporates a secondary validation mechanism for ambiguous cases, enabling more reliable decision-making. This approach allows the system not only to reduce false positives but also to transform raw alert data into actionable intelligence for SOC analysts. The pipeline is evaluated on labeled Wazuh alert datasets, demonstrating improved classification performance and enhanced analytical capabilities compared to traditional rule-based or machine learning approaches. This work highlights the effectiveness of LLM-driven architectures in SIEM environments and contributes toward more intelligent and automated security operations.***

Le volume croissant et la complexité des alertes générées par les systèmes SIEM modernes représentent un défi majeur pour les centres d’opérations de sécurité (SOC), notamment pour distinguer les vrais positifs des faux positifs et prioriser les réponses aux incidents. Ce projet propose un pipeline intelligent visant à améliorer l’analyse des alertes Wazuh en s’appuyant sur des modèles de langage de grande taille (LLM) finement ajustés. Le système proposé repose sur un LLM affiné qui assure la classification principale des alertes en vrais positifs ou faux positifs, en exploitant leur contenu contextuel et sémantique. Au-delà de cette classification binaire, le modèle est également utilisé pour effectuer une analyse approfondie des alertes confirmées, incluant l’identification des schémas d’attaque et la génération d’actions de réponse aux incidents. Afin d’améliorer la robustesse et de gérer les cas incertains, le pipeline intègre un mécanisme de validation secondaire pour les alertes ambiguës, permettant une prise de décision plus fiable. Cette approche permet non seulement de réduire les faux positifs, mais aussi de transformer les données brutes en informations exploitables pour les analystes SOC. Le système est évalué sur des jeux de données annotés d’alertes Wazuh, montrant une amélioration des performances de classification et des capacités d’analyse par rapport aux approches traditionnelles. Ce travail met en évidence l’efficacité des architectures basées sur les LLM dans les environnements SIEM et contribue à des opérations de sécurité plus intelligentes et automatisées.