TheHive w AI OS: obsługa incydentów i koszt licencji

TheHive organizuje pracę zespołu reagującego na incydent; nie należy jednak nazywać obecnej edycji po prostu bezwarunkowym open source. Dokumentacja licencji mówi, że nawet bezpłatna Community wymaga uzyskania i aktywacji licencji. Po okresie próbnym bez ważnej licencji interfejs przechodzi w tryb tylko do odczytu.

Do czego służy?

TheHive jest platformą do prowadzenia spraw, alertów, zadań i obserwabli w SOC. Zdarzenie z Wazuh może stać się sprawą: analityk zapisuje hipotezy, przypisuje zadania i dokumentuje decyzję o zamknięciu. Cortex może wzbogacić obserwable i uruchomić kontrolowaną odpowiedź. To nie jest automatyczne „wykryj i napraw”; człowiek odpowiada za ocenę skutków.

W AI OS sprawa powinna wskazywać model, wersję narzędzia agenta, jego tożsamość, zatwierdzenia i obiekty dotknięte akcją. Gdy agent wysłał dane do nieautoryzowanego API, samo IP hosta nie wystarcza do odtworzenia zdarzenia. Zapisz też identyfikator wykonania, politykę dostępu i wynik akcji — z ochroną danych wrażliwych.

Co oznacza licencja dla suwerenności?

TheHive można wdrożyć lokalnie, lecz zdolność działania i dostępność funkcji zależą od warunków licencji. Dokumentacja wdrożenia wskazuje ponadto, że Community obsługuje pojedynczy węzeł; wielowęzłowe wdrożenie wymaga wyższego planu. Przy wyborze policz koszt operacyjny, limity i procedurę eksportu spraw. Nie zakładaj, że publiczne repozytorium daje prawo do samodzielnego utrzymywania wszystkich nowszych funkcji.

Alternatywy i test

Własny proces na otwartych narzędziach ticketowych i SIEM może być bardziej niezależny, ale wymaga zbudowania modelu spraw i integracji. TheHive ma sens, jeśli korzyść z gotowego workflow przewyższa zależność licencyjną. Przeprowadź ćwiczenie: alert o nieautoryzowanej akcji agenta, przypisanie sprawy, analiza w Cortex, zatwierdzona odpowiedź i eksport pełnego przebiegu.