Как встроить ИИ-ассистент в Wazuh

После настройки в дашборде появятся три инструмента.

• Окно чата. Аналитик задает вопрос своими словами и получает в ответ от LLM.
• Query Assist в Discover. «Словесный» вопрос превращается в запрос PPL (Piped Processing Language, язык запросов OpenSearch), а результат открывается обычной таблицей.
• Кнопка Explain Document в панели просмотра документа. Модель разбирает алерт или запись об уязвимости: что произошло, насколько это серьезно и что проверить.

Как это работает

Вопрос аналитика проходит следующий путь:

• Плагины дашборда рисуют окно чата, строку Query Assist и кнопку. Сами они ничего не вычисляют, а передают вопрос в индексатор.
• Плагин ml-commons в индексаторе хранит подключение к модели и агентов. Агент — это сценарий работы: какой промпт отправить модели и какие инструменты ей дать. Главный инструмент здесь — PPLTool. Он просит модель составить запрос PPL и сам его выполняет.
• Модель работает отдельно. Индексатор обращается к ней по HTTPS через коннектор — объект с адресом, форматом запроса и правилом разбора ответа.

Настраивать будем в том же порядке: плагины, модель, агенты, а на конец оставим кнопку в интерфейсе.

Требования

Инструкция проверена на следующей конфигурации:

• Wazuh 4.14.7 в Docker (репозиторий wazuh-docker, вариант single-node). Внутри Wazuh 4.14.7 работает OpenSearch 2.19.5;
• модель qwen3-next-80b за OpenWebUI. Подойдет любая модель с OpenAI-совместимым API, которая уверенно следует инструкциям.

Подготовьте заранее:

• адрес API модели, имя модели и токен;
• root-доступ к серверу, где работают индексатор и дашборд Wazuh;
• для кнопки Explain Document — машину с Linux и Docker, 8 ГБ оперативной памяти и доступом к GitHub и npm.

Большая часть команд выполняется в меню консоли дашборда: Indexer management → Dev Tools. Консоль сама подставляет адрес индексатора и авторизацию. Не перепутайте ее с пунктом Server management → Dev Tools: там консоль API менеджера Wazuh, запросы из статьи в ней не сработают. Там, где нужен терминал сервера, это указано над блоком кода.

При этом в командах встречаются значения, которые нужно заменить на свои:

Шаг 1. Установка плагинов

Ассистенту нужны два плагина индексатора (opensearch-skills и opensearch-flow-framework) и три плагина дашборда (assistantDashboards, mlCommonsDashboards, observabilityDashboards). Отдельных архивов у них нет, поэтому возьмем их из официальной сборки OpenSearch той же версии. Архивы весят около 1,3 ГБ.

Выполните на сервере Wazuh следующие шаги.

1. Скачайте сборки OpenSearch и OpenSearch Dashboards и распакуйте из них только нужные плагины:

      mkdir -p /opt/wazuh-llm && cd /opt/wazuh-llm
URL=https://artifacts.opensearch.org/releases/bundle
curl -LO $URL/opensearch/2.19.5/opensearch-2.19.5-linux-x64.tar.gz
curl -LO $URL/opensearch-dashboards/2.19.5/opensearch-dashboards-2.19.5-linux-x64.tar.gz
mkdir -p indexer dashboard
tar -xzf opensearch-2.19.5-linux-x64.tar.gz -C indexer --strip-components=2 \
  opensearch-2.19.5/plugins/opensearch-skills \
  opensearch-2.19.5/plugins/opensearch-flow-framework
tar -xzf opensearch-dashboards-2.19.5-linux-x64.tar.gz -C dashboard \
  --strip-components=2 \
  opensearch-dashboards-2.19.5/plugins/assistantDashboards \
  opensearch-dashboards-2.19.5/plugins/mlCommonsDashboards \
  opensearch-dashboards-2.19.5/plugins/observabilityDashboards
ls indexer dashboard

2. Подключите плагины.

Если Wazuh работает в Docker, назначьте владельцем файлов пользователя, имеющего UID 1000 — под ним работают процессы в контейнерах:

      chown -R 1000:1000 /opt/wazuh-llm/indexer /opt/wazuh-llm/dashboard

Затем добавьте тома в docker-compose.yml: первые две строки в раздел volumes сервиса wazuh.indexer, остальные три — в раздел volumes сервиса wazuh.dashboard.

      wazuh.indexer:
    volumes:
      - /opt/wazuh-llm/indexer/opensearch-skills:/usr/share/wazuh-indexer/plugins/opensearch-skills
      - /opt/wazuh-llm/indexer/opensearch-flow-framework:/usr/share/wazuh-indexer/plugins/opensearch-flow-framework
 
  wazuh.dashboard:
    volumes:
      - /opt/wazuh-llm/dashboard/assistantDashboards:/usr/share/wazuh-dashboard/plugins/assistantDashboards
      - /opt/wazuh-llm/dashboard/mlCommonsDashboards:/usr/share/wazuh-dashboard/plugins/mlCommonsDashboards
      - /opt/wazuh-llm/dashboard/observabilityDashboards:/usr/share/wazuh-dashboard/plugins/observabilityDashboards

      docker compose up -d

Если Wazuh установлен из пакетов, скопируйте плагины в каталоги сервисов и перезапустите их:

      cp -r /opt/wazuh-llm/indexer/* /usr/share/wazuh-indexer/plugins/
cd /usr/share/wazuh-indexer/plugins
chown -R wazuh-indexer:wazuh-indexer opensearch-skills opensearch-flow-framework
cp -r /opt/wazuh-llm/dashboard/* /usr/share/wazuh-dashboard/plugins/
cd /usr/share/wazuh-dashboard/plugins
chown -R wazuh-dashboard:wazuh-dashboard \
  assistantDashboards mlCommonsDashboards observabilityDashboards
systemctl restart wazuh-indexer wazuh-dashboard

3. Проверьте, что индексатор загрузил плагины. В ответе должны быть строки opensearch-skills 2.19.5.0 и opensearch-flow-framework 2.19.5.0:

      GET _cat/plugins?v&h=component,version

Шаг 2. Включение ассистента

1. Включите агентов в ml-commons и разрешите подключение к вашей модели. В последнем параметре замените адрес llm.example.com на хост своей модели:

      PUT _cluster/settings
{
  "persistent": {
    "plugins.ml_commons.agent_framework_enabled": true,
    "plugins.ml_commons.memory_feature_enabled": true,
    "plugins.ml_commons.only_run_on_ml_node": false,
    "plugins.ml_commons.connector.private_ip_enabled": true,
    "plugins.ml_commons.trusted_connector_endpoints_regex": [
      "^https://llm\\.example\\.com/.*$"
    ]
  }
}

Рассмотрим подробнее, что делают эти настройки.

• agent_framework_enabled и memory_feature_enabled включают агентов и память диалога. Без памяти не будут работать уточняющие вопросы вроде «а сколько событий из них критичны?».
• only_run_on_ml_node: false разрешает работу моделей на обычных узлах. По умолчанию ml-commons ждет отдельных ML-узлов, которых в Wazuh нет.
• connector.private_ip_enabled нужен, если модель находится во внутренней сети.
• trusted_connector_endpoints_regex — список разрешенных адресов моделей. По умолчанию там только облачные сервисы вроде OpenAI и Bedrock. Это регулярное выражение: каждая точка в имени хоста записывается как \\., иначе она совпадет с любым символом.

В ответе должно прийти "acknowledged": true. Перезапуск индексатора не нужен.

2. Включите интерфейс ассистента. Добавьте в конец opensearch_dashboards.yml пять строк. В Docker этот файл лежит на сервере в config/wazuh_dashboard/opensearch_dashboards.yml рядом с docker-compose.yml, в пакетной установке — в /etc/wazuh-dashboard/opensearch_dashboards.yml:

      assistant.chat.enabled: true
assistant.incontextInsight.enabled: true
assistant.alertInsight.enabled: true
observability.query_assist.enabled: true
observability.summarize.enabled: true

3. Перезапустите дашборд:

      docker restart <DASHBOARD_CONTAINER>
# или в пакетной установке:
systemctl restart wazuh-dashboard

После перезапуска в шапке дашборда появится строка Ask a question, а по нажатию на нее откроется окно OpenSearch Assistant. Отвечать оно пока не сможет, так как модель еще не подключена.

Шаг 3. Подключение модели

Индексатор не запускает модель у себя, а обращается к ней по API. Для этого нужны коннектор и зарегистрированная поверх него модель.

1. Создайте коннектор. Замените значения в угловых скобках на свои и выполните запрос целиком:

      POST _plugins/_ml/connectors/_create
{
  "name": "LLM chat",
  "description": "OpenAI-compatible chat endpoint",
  "version": "1",
  "protocol": "http",
  "parameters": {
    "endpoint": "<LLM_URL>",
    "path": "<LLM_PATH>",
    "model": "<LLM_MODEL>",
    "temperature": 0,
    "max_tokens": 2048
  },
  "credential": {
    "api_key": "<LLM_API_KEY>"
  },
  "actions": [
    {
      "action_type": "predict",
      "method": "POST",
      "url": "${parameters.endpoint}${parameters.path}",
      "headers": {
        "Authorization": "Bearer ${credential.api_key}",
        "Content-Type": "application/json"
      },
      "request_body": """{ "model": "${parameters.model}", "messages": [{"role": "user", "content": "${parameters.prompt}"}], "temperature": ${parameters.temperature}, "max_tokens": ${parameters.max_tokens}, "stream": false }""",
      "post_process_function": """
def text = params['choices'][0]['message']['content'];
if (text == null) { text = ""; }
String t = text.toString().trim();
int te = t.indexOf("</think>");
if (te >= 0) { t = t.substring(te + 8).trim(); }
if (t.startsWith("```")) {
  t = t.replace("```json", " ").replace("```JSON", " ").replace("```ppl", " ").replace("```", " ").trim();
}
t = t.replace("<cppl>", "<ppl>").replace("</cppl>", "</ppl>");
return '{"name":"response","dataAsMap":{"response":"' + escape(t) + '"}}';
"""
    }
  ]
}

Тройные кавычки """ — это возможность консоли Dev Tools: текст между ними можно писать как есть, а консоль сама превратит его в JSON-строку. В двух местах коннектор отличается от стандартного шаблона OpenAI, и оба отличия обязательны:

• request_body подставляет в запрос параметр ${parameters.prompt}. Именно его передают агенты ассистента. Стандартный шаблон с ${parameters.messages} для агентов не подходит: модель получает сломанный запрос, а ml-commons отвечает Invalid payload.
• post_process_function достает текст из ответа модели и возвращает его в виде {"response": "..."}, как этого ждут инструменты. Заодно функция убирает блок рассуждений <think> и обертку Markdown, которые добавляют некоторые модели.

В ответе придет connector_id. Запишите его, это <CONNECTOR_ID>.

2. Зарегистрируйте и запустите модель:

      POST _plugins/_ml/models/_register?deploy=true
{
  "name": "llm-chat",
  "function_name": "remote",
  "description": "LLM for OpenSearch Assistant",
  "connector_id": "<CONNECTOR_ID>"
}

В ответе придет model_id — это <MODEL_ID>. Модель работает на стороне API OpenWebUI, поэтому запускается за несколько секунд. Проверить состояние можно запросом GET _plugins/_ml/models/<MODEL_ID>: поле model_state должно быть DEPLOYED.

3. Проверьте, что модель отвечает:

      POST _plugins/_ml/models/<MODEL_ID>/_predict
{
  "parameters": {
    "prompt": "Ответь одним словом: работает?"
  }
}

В ответе должно быть поле dataAsMap.response с коротким ответом модели. Если пришла ошибка, проверьте адрес, путь, токен и регулярное выражение из шага 2.

Шаг 4. Агент чата

В окне чата общение происходит не с моделью, а с агентом. Агент принимает вопрос, при необходимости вызывает PPLTool, получает результат запроса и формулирует ответ. Поведение агента задают три текста, ознакомиться с ними можно под спойлерами ниже.

      import React, { useState } from 'react';
import {
  EuiButtonEmpty,
  EuiCallOut,
  EuiFlexGroup,
  EuiFlexItem,
  EuiLoadingSpinner,
  EuiMarkdownFormat,
  EuiSpacer,
  EuiText,
} from '@elastic/eui';
 
// Кнопка Explain Document в панели просмотра документа.
// Отправляет документ агенту os_summary через маршрут /api/assistant/summary.
 
// Документ передается строкой с текстовым префиксом, а не чистым JSON:
// чистый JSON ml-commons не экранирует, и запрос к модели ломается (Invalid payload).
export const buildDocContext = (source: any) => {
  if (!source) {
    return '';
  }
 
  try {
    return `Документ Wazuh (JSON):\n${JSON.stringify(source, null, 2)}`;
  } catch {
    return '';
  }
};
 
const ExplainDocument = ({ context }: { context: string }) => {
  const [state, setState] = useState<{
    loading: boolean;
    answer?: string;
    error?: string;
  }>({ loading: false });
 
  const ask = async () => {
    setState({ loading: true });
 
    try {
      const response = await fetch('/api/assistant/summary', {
        method: 'POST',
        headers: { 'Content-Type': 'application/json', 'osd-xsrf': 'true' },
        body: JSON.stringify({
          summaryType: 'alerts',
          question: 'Explain this document',
          context,
        }),
      });
 
      if (!response.ok) {
        throw new Error(`server responded ${response.status}`);
      }
 
      const body = await response.json();
 
      setState({
        loading: false,
        answer: body?.summary ?? JSON.stringify(body).slice(0, 800),
      });
    } catch (error) {
      setState({ loading: false, error: String(error) });
    }
  };
 
  return (
    <>
      <EuiFlexGroup alignItems='center' gutterSize='s' responsive={false}>
        <EuiFlexItem grow={false}>
          <EuiButtonEmpty
            aria-label='explain-document'
            data-test-subj='wzExplainDocument'
            iconType='generate'
            size='s'
            isDisabled={state.loading}
            onClick={ask}
          >
            Explain Document
          </EuiButtonEmpty>
        </EuiFlexItem>
        {state.loading && (
          <EuiFlexItem grow={false}>
            <EuiLoadingSpinner size='m' />
          </EuiFlexItem>
        )}
      </EuiFlexGroup>
      {(state.answer || state.error) && (
        <>
          <EuiSpacer size='s' />
          <EuiCallOut
            color={state.error ? 'danger' : 'primary'}
            iconType={state.error ? 'alert' : 'generate'}
            size='s'
            title={state.error ? 'Failed to explain' : 'Assistant explanation'}
          >
            {state.error ? (
              <EuiText size='s'>
                <p style={{ whiteSpace: 'pre-wrap' }}>{state.error}</p>
              </EuiText>
            ) : (
              <EuiMarkdownFormat>{state.answer ?? ''}</EuiMarkdownFormat>
            )}
          </EuiCallOut>
        </>
      )}
      <EuiSpacer size='s' />
    </>
  );
};
 
export const withIncontextInsight = (
  item: any,
  _docId: string,
  component: JSX.Element,
) => {
  try {
    const context = buildDocContext(item?._source ?? item);
 
    if (!context) {
      return component;
    }
 
    return (
      <>
        <ExplainDocument context={context} />
        {component}
      </>
    );
  } catch (error) {
    // при любой ошибке показываем документ без кнопки
    return component;
  }
};

1. Соберите список групп правил вашего кластера. Модель должна искать события по группам (rule.groups), которые реально есть в ваших данных, а не угадывать номера правил: номера у каждого кластера свои.

      GET wazuh-alerts-*/_search
{
  "size": 0,
  "query": { "range": { "timestamp": { "gte": "now-30d" } } },
  "aggs": {
    "groups": { "terms": { "field": "rule.groups", "size": 50 } }
  }
}

Из ответа выпишите значения key через запятую. Группы стандартов соответствия (pci_dss_*, gdpr_*, hipaa_*, nist_800_53_*, tsc_*, gpg13_*) пропустите: они есть почти в каждом событии и только мешают. Получившейся строкой замените <ВСТАВЬТЕ_СПИСОК_ГРУПП> в тексте приложения Б.

2. Зарегистрируйте агента. Вместо строк <ТЕКСТ ПРИЛОЖЕНИЯ …> вставьте тексты приложений целиком, тройные кавычки оставьте на месте:

      POST _plugins/_ml/agents/_register
{
  "name": "Wazuh chat agent",
  "type": "conversational",
  "description": "SOC assistant over Wazuh alerts",
  "app_type": "os_chat",
  "llm": {
    "model_id": "<MODEL_ID>",
    "parameters": {
      "max_iteration": 10,
      "stop_when_no_tool_found": true,
      "prompt.prefix": """
<ТЕКСТ ПРИЛОЖЕНИЯ А>
""",
      "prompt.format_instruction": """
<ТЕКСТ ПРИЛОЖЕНИЯ В>
"""
    }
  },
  "memory": { "type": "conversation_index" },
  "parameters": { "message_history_limit": "3" },
  "tools": [
    {
      "type": "PPLTool",
      "name": "TransferQuestionToPPLAndExecuteTool",
      "description": "Переводит вопрос аналитика в запрос PPL по индексу алертов Wazuh и выполняет его. Вход: {index: имя индекса, question: вопрос словами}. Индекс по умолчанию wazuh-alerts-*.",
      "parameters": {
        "model_id": "<MODEL_ID>",
        "model_type": "FINETUNE",
        "execute": true,
        "head": 5,
        "prompt": """
<ТЕКСТ ПРИЛОЖЕНИЯ Б>
"""
      }
    }
  ]
}

Значения параметров подобраны на стенде, менять их без причины не стоит:

В ответе придет agent_id — это <CHAT_AGENT_ID>.

3. Привяжите агента к окну чата. Окно ищет агента в системном индексе .plugins-ml-config по ключу os_chat. В системные индексы OpenSearch пускает только с административным сертификатом, поэтому этот запрос выполняется не в Dev Tools, а в терминале сервера.

Wazuh в Docker:

      docker exec <INDEXER_CONTAINER> curl -sk \
  --cert /usr/share/wazuh-indexer/config/certs/admin.pem \
  --key /usr/share/wazuh-indexer/config/certs/admin-key.pem \
  -X PUT "https://localhost:9200/.plugins-ml-config/_doc/os_chat?refresh=true" \
  -H "Content-Type: application/json" \
  -d '{"type": "os_chat_root_agent", "configuration": {"agent_id": "<CHAT_AGENT_ID>"}}'

Пакетная установка: та же команда без docker exec <INDEXER_CONTAINER>, сертификаты лежат в /etc/wazuh-indexer/certs/admin.pem и /etc/wazuh-indexer/certs/admin-key.pem.

В ответе должно быть "result": "created". Если ключ уже был привязан к другому агенту, придет "result": "updated".

4. Откройте окно ассистента и задайте несколько вопросов. Вот что мы спрашивали на стенде ( все числа в ответах совпали с проверочными запросами):

• «Сколько алертов за сегодня?», а следом «А сколько из них уровня 10 и выше?» — второй вопрос должен учитывать период из первого;
• «С каких адресов больше всего неудачных входов за неделю и сколько их всего?» — агент должен выполнить два запроса и объединить результаты;
• «Объясни правило 5712» — агент найдет правило по номеру и расскажет, что оно означает.

Каждый ответ состоит из блока Ответ с числами и блока Запрос с выполненным PPL. Запрос можно скопировать в Discover и перепроверить число.

Шаг 5. Query Assist в Discover

Query Assist — строка в Discover, в которой вопрос словами превращается в запрос PPL. Для нее нужен отдельный агент: у него нет памяти диалога, только PPLTool.

1. Зарегистрируйте агента. Вместо <ТЕКСТ ПРИЛОЖЕНИЯ Б> вставьте тот же текст, что и в шаге 4, со списком групп:

      POST _plugins/_ml/agents/_register
{
  "name": "Wazuh PPL agent",
  "type": "flow",
  "description": "Natural language to PPL over Wazuh alerts",
  "memory": { "type": "demo" },
  "tools": [
    {
      "type": "PPLTool",
      "name": "TransferQuestionToPPLAndExecuteTool",
      "description": "Переводит вопрос аналитика в запрос PPL по индексу алертов Wazuh и выполняет его.",
      "parameters": {
        "model_id": "<MODEL_ID>",
        "model_type": "FINETUNE",
        "execute": true,
        "head": 5,
        "prompt": """
<ТЕКСТ ПРИЛОЖЕНИЯ Б>
"""
      }
    }
  ]
}

В ответе придет agent_id — это <PPL_AGENT_ID>.

2. Привяжите его под ключом os_query_assist_ppl. Команда такая же, как в шаге 4, отличаются ключ в адресе и идентификатор агента:

      docker exec <INDEXER_CONTAINER> curl -sk \
  --cert /usr/share/wazuh-indexer/config/certs/admin.pem \
  --key /usr/share/wazuh-indexer/config/certs/admin-key.pem \
  -X PUT "https://localhost:9200/.plugins-ml-config/_doc/os_query_assist_ppl?refresh=true" \
  -H "Content-Type: application/json" \
  -d '{"type": "os_chat_root_agent", "configuration": {"agent_id": "<PPL_AGENT_ID>"}}'

3. Откройте Discover, выберите шаблон индекса wazuh-alerts-* и переключите язык запросов на PPL. Введите вопрос, например «покажи неудачные входы по SSH за 3 дня». Над таблицей появится сгенерированный запрос, который можно поправить вручную.

Шаг 6. Кнопка Explain Document

С этой функции удобнее всего начинать внедрение. В чате модель сама составляет запрос и иногда ошибается. Здесь она получает готовый документ в формате JSON и только объясняет его, поэтому результат стабильный.

Включить кнопку одной настройкой не получится. Плагин ассистента дает механизм для таких кнопок, но сами кнопки регистрируют плагины страниц. В OpenSearch это делает плагин Alerting, но плагин Wazuh на это не способен, так что добавим кнопку в код плагина Wazuh и пересоберем его. Правка общая для всех модулей: панель просмотра документа у Wazuh одна, и кнопка появится и в Threat Hunting, и в Vulnerability Detection, и во всех остальных разделах.

6.1. Агент объяснения

1. Зарегистрируйте агента:

      POST _plugins/_ml/agents/_register
{
  "name": "Wazuh explain document",
  "type": "flow",
  "description": "Explains a Wazuh document",
  "memory": { "type": "demo" },
  "tools": [
    {
      "type": "MLModelTool",
      "name": "SummaryTool",
      "parameters": {
        "model_id": "<MODEL_ID>",
        "prompt": """
Ты дежурный аналитик SOC. Ниже документ из Wazuh: алерт, запись об уязвимости или другое событие.
Объясни по-русски, по делу и по разделам: суть (что произошло, где, от кого), почему это важно и насколько серьезно, техника MITRE ATT&CK, если она есть в документе, и что проверить в первую очередь.
Опирайся только на поля документа, ничего не выдумывай.
 
${parameters.context}
 
Вопрос: ${parameters.question}
"""
      }
    }
  ]
}

Плагин ассистента передает агенту два параметра: ${parameters.context} — сам документ и ${parameters.question} — вопрос. В ответе придет agent_id — это <SUMMARY_AGENT_ID>.

2. Привяжите агента под ключом os_summary:

      docker exec <INDEXER_CONTAINER> curl -sk \
  --cert /usr/share/wazuh-indexer/config/certs/admin.pem \
  --key /usr/share/wazuh-indexer/config/certs/admin-key.pem \
  -X PUT "https://localhost:9200/.plugins-ml-config/_doc/os_summary?refresh=true" \
  -H "Content-Type: application/json" \
  -d '{"type": "os_chat_root_agent", "configuration": {"agent_id": "<SUMMARY_AGENT_ID>"}}'

6.2. Правка кода

Все действия этого и следующего раздела выполняются на машине сборки. Плагин Wazuh собирается только внутри исходников платформы, поэтому понадобятся два репозитория одной версии.

1. Скачайте исходники и положите плагины Wazuh внутрь платформы:

      mkdir -p ~/wazuh-build && cd ~/wazuh-build
git clone --depth 1 -b v4.14.7 https://github.com/wazuh/wazuh-dashboard.git
git clone --depth 1 -b v4.14.7 https://github.com/wazuh/wazuh-dashboard-plugins.git
cp -r wazuh-dashboard-plugins/plugins/main \
      wazuh-dashboard-plugins/plugins/wazuh-core \
      wazuh-dashboard-plugins/plugins/wazuh-check-updates \
      wazuh-dashboard/plugins/

2. Создайте файл кнопки incontext-insight.tsx. Полный текст — в приложении Г.

      wazuh-dashboard/plugins/main/public/components/common/wazuh-discover/components/incontext-insight.tsx

3. Подключите кнопку в двух компонентах просмотра документа. Они лежат в том же каталоге. В каждом файле нужно добавить импорт и обернуть возвращаемую разметку: вместо return ( написать const content = (, а в конце функции вернуть результат withIncontextInsight. Строки со знаком «+» добавляются, а со знаком «-» — удаляются.

       import { EuiCodeBlock, EuiFlexGroup, EuiTabbedContent } from '@elastic/eui';
+import { withIncontextInsight } from './incontext-insight';
 ...
+  const docId = item?._id ?? 'wazuh-alert';
 
-  return (
+  const content = (
     <EuiFlexGroup direction='column' style={{ width: '100%' }}>
 ...
     </EuiFlexGroup>
   );
+
+  return withIncontextInsight(item, docId, content);
 };

       import { useDocViewer } from '../../doc-viewer';
+import { withIncontextInsight } from './incontext-insight';
 ...
-  return (
+  const content = (
     <EuiFlexItem>
 ...
     </EuiFlexItem>
   );
+
+  return withIncontextInsight(
+    document,
+    document?._id ?? 'wazuh-alert',
+    content,
+  );
 };

4. Выровняйте версию библиотеки node-cron. В плагине main указана версия ^1.1.2, а в wazuh-core и wazuh-check-updates — ^3.0.2. 

      sed -i 's/"node-cron": "\^3.0.2"/"node-cron": "^1.1.2"/' \
  wazuh-dashboard/plugins/wazuh-core/package.json \
  wazuh-dashboard/plugins/wazuh-check-updates/package.json
grep -n node-cron wazuh-dashboard/plugins/*/package.json

6.3. Сборка

Собирать удобнее в контейнере с Node.js 18: не нужно ничего ставить на машину. Сборка идет от обычного пользователя node, потому что OpenSearch Dashboards отказывается работать от root. Первая сборка занимает 30–60 минут, почти все это время уходит на загрузку зависимостей.

1. Запустите контейнер сборки:

      sudo chown -R 1000:1000 wazuh-dashboard
docker run --rm -it -u node -v "$PWD/wazuh-dashboard":/work -w /work node:18 bash

2. Внутри контейнера загрузите зависимости и соберите плагин:

      yarn osd bootstrap --single-version=loose
cd plugins/main
export NODE_OPTIONS=--max-old-space-size=4096
export OPENSEARCH_DASHBOARDS_VERSION=2.19.5
yarn build --skip-archive
exit

Версию платформы передавайте только переменной OPENSEARCH_DASHBOARDS_VERSION. Скрипт сборки сам добавляет флаг --opensearch-dashboards-version, и если указать его еще раз вручную, сборка остановится с ошибкой expected a single --opensearch-dashboards-version flag.

Успешная сборка заканчивается строкой bundles compiled successfully. Готовые файлы лежат в каталоге plugins/main/build/opensearch-dashboards/wazuh/target/public.

6.4. Установка

Замените собранными файлами каталог target/public плагина Wazuh и перезапустите дашборд. Команды ниже написаны для случая, когда сборка шла на том же сервере. Если собирали на другой машине, скопируйте каталог public на сервер и укажите в команде путь к нему.

      docker cp ~/wazuh-build/wazuh-dashboard/plugins/main/build/opensearch-dashboards/wazuh/target/public/. \
  <DASHBOARD_CONTAINER>:/usr/share/wazuh-dashboard/plugins/wazuh/target/public/
docker exec -u root <DASHBOARD_CONTAINER> chown -R 1000:1000 /usr/share/wazuh-dashboard/plugins/wazuh/target/public
docker restart <DASHBOARD_CONTAINER>

      cp -r ~/wazuh-build/wazuh-dashboard/plugins/main/build/opensearch-dashboards/wazuh/target/public/. \
  /usr/share/wazuh-dashboard/plugins/wazuh/target/public/
chown -R wazuh-dashboard:wazuh-dashboard /usr/share/wazuh-dashboard/plugins/wazuh/target/public
systemctl restart wazuh-dashboard

Обновите страницу дашборда с очисткой кэша (Ctrl+Shift+R): имена файлов после сборки не меняются, и браузер может показать старую версию. Откройте любой документ, например алерт в Threat Hunting. Над вкладками Table и JSON появится кнопка Explain Document. Первый ответ приходит за 10–20 секунд.

Если что-то не работает

Здесь собраны ошибки, с которыми мы столкнулись при настройке. Большинство из них не объясняет причину, поэтому таблица начинается с текста ошибки.

Ограничения

• Чат ошибается чаще, чем кнопка. Составляя запрос, модель может выбрать не то поле или добавить лишний фильтр.

• Чат ошибается чаще, чем кнопка. Составляя запрос, модель может выбрать не то поле или добавить лишний фильтр. Поэтому в каждом ответе есть выполненный запрос. Для отчетов проверяйте цифры обычным поиском.
• Модель получает данные. В промпт уходят вопрос, результат запроса или документ целиком: адреса, имена пользователей, команды. Если модель работает во внешнем сервисе, согласуйте это со службой безопасности.
• Проверено под пользователем admin. Для других пользователей понадобятся права на ml-commons, отдельно мы их не настраивали.
• Список групп нужно обновлять. Появились новые источники событий — соберите список заново, обновите приложение Б и перерегистрируйте агентов.

Заключение

Два часа настройки — и Wazuh начинает отвечать на вопросы обычными словами. Для этого хватает штатных плагинов OpenSearch, своей модели и трех агентов, а код приходится трогать только ради кнопки Explain Document.

Если внедрять по шагам, начните с кнопки: она объясняет готовый документ и почти не ошибается в фактах. Чат оставьте для быстрых вопросов к данным и не забывайте смотреть на запрос под ответом.