OpenAI 和 Microsoft Sentinel 第 3 部分：达芬奇与 Turbo
欢迎回到我们关于OpenAI的大型语言模型(LLM)和MicrosoftSentinel的系列文章。在第一部分中，我们使用OpenAI和Sentinel的内置AzureLogicApps连接器构建了一个基本剧本，以解释在事件中发现的MITREATT&CK策略，并讨论了一些可能影响OpenAI模型的不同参数，例如温度和频率惩罚。接下来，我们使用Sentinel的RESTAPI扩展此功能以查找计划的分析规则并返回规则检测逻辑的摘要。如果您一直在关注，
欢迎回到我们关于 OpenAI 的大型语言模型 (LLM) 和 Microsoft Sentinel 的系列文章。在第一部分中，我们使用 OpenAI 和 Sentinel 的内置 Azure Logic Apps 连接器构建了一个基本剧本，以解释在事件中发现的 MITRE ATT&CK 策略，并讨论了一些可能影响 OpenAI 模型的不同参数，例如温度和频率惩罚。接下来，我们使用 Sentinel 的 REST API 扩展此功能以查找计划的分析规则并返回规则检测逻辑的摘要。
如果您一直在关注，您可能会注意到我们的第一个剧本从 Sentinel 事件中查找了 MITRE ATT&CK 战术，但没有在 GPT3 提示中包含任何事件技术。为什么不？好吧，启动你的 OpenAI API Playground，让我们去兔子洞旅行（向 Lewis Carroll 道歉）。
- 模式：完整
- 型号：text-davinci-003
- 温度：1
- 最大长度：500
- 最高 P: 1
- 频率惩罚：0
- 存在惩罚：0
- 提示：“请解释以下MITRE ATT&CK战术和技巧：[“DefenseEvasion”]，[“T1564”]”
这是我们的第一个结果：
这是对 MITRE ATT&CK Tactic TA0005，Defense Evasion 的一个很好的总结，但是技术描述是怎么回事？T1564 是 Hide Artifacts - 进程注入 (T1055) 和 Rootkit (T1014) 还有其他命名技术。让我们再试一次。
差远了！“利用远程服务”是横向移动策略中的技术 T1210。再一次：
那么发生了什么？ChatGPT 不应该比这更好吗？！
好吧，是的。ChatGPT 在总结 MITRE ATT&CK 技术代码方面确实很棒，但我们还没有问过它。我们一直在文本完成模式下使用 OpenAI 的另一种顶级生成式预训练 Transformer-3.5 (GPT-3.5) 模型“text-davinci-003” 。ChatGPT 在聊天完成模式中使用“gpt-3.5-turbo”模型。差异很大。以下是 ChatGPT 对上述相同查询的响应示例：
但是我们 Azure 逻辑应用程序中的 OpenAI 连接器没有为我们提供基于聊天的操作，我们也无法选择 Turbo 模型，那么我们如何才能将 ChatGPT 引入我们的 Sentinel 工作流中呢？就像我们在第二部分中关闭 Sentinel Logic App 连接器以直接调用 Sentinel REST API 的 HTTP 操作一样，我们可以对 OpenAI 的 API 执行相同的操作。让我们探索构建使用聊天模型而不是文本完成模型的逻辑应用工作流的过程。
我们将参考 OpenAI 的两个参考文档：聊天创建 API 参考和聊天完成指南。为了使这篇博文保持合理的长度，我将总结一些您需要在您自己的环境中复制我们的示例的设置任务：
- 用于存储您的 OpenAI API 凭证的 Key Vault
- 一种授权您的逻辑应用程序从 Key Vault 读取机密的方法（我推荐使用 Azure RBAC 的托管身份）
- 允许您的逻辑应用程序连接到 Key Vault 的网络访问（我使用连接器文档中适当 Azure 区域的已定义 IP 地址和 CIDR 范围）
现在，让我们打开我们的逻辑应用程序设计器并开始构建功能。就像以前一样，我们正在使用 Microsoft Sentinel 事件触发器。我们将在此之后执行 Key Vault 操作“Get secret”，我们将在其中指定存储 API 密钥的秘密名称：
接下来，我们需要为我们的 API 请求初始化和设置一些变量。这不是绝对必要的；我们可以简单地在我们的 HTTP 操作中写出请求，但这将使以后更改提示和其他参数变得容易得多。OpenAI Chat API 调用中的两个必需参数是“模型”和“消息”，因此让我们初始化一个字符串变量来存储模型名称和一个用于消息的数组变量。
“消息”参数是聊天模型的主要输入。它被构造为一组消息对象，每个对象都有一个角色，例如“系统”或“用户”，以及内容。让我们看一下 Playground 中的示例：
System 对象允许我们为此聊天会话设置 AI 模型的行为上下文。User 对象是我们的问题，模型将回复一个 Assistant 对象。如果需要，我们可以将先前的响应包含在 User 和 Assistant 对象中，以便为 AI 模型提供“对话历史记录”。
回到我们的逻辑应用程序设计器中，我使用了两个“附加到数组变量”操作和一个“初始化变量”操作来构建“消息”数组：
同样，这一切都可以一步完成，但我选择分别分解每个对象。如果我想修改我的提示，我只需要更新 Prompt 变量。
接下来，让我们将温度参数调整到一个非常低的值，以使 AI 模型更具确定性。“Float”变量非常适合存储此值。
最后，让我们将它们与一个 HTTP 操作放在一起，如下所示：
- 方法：邮寄
- 类型： https: //api.openai.com/v1/chat/completions
- 身体：
{"model": @{variables('model')},"messages": @{variables('messages')},"temperature": @{variables('temperature')}} - 身份验证：原始
- 价值：
Bearer @{body('Get_OpenAI_API_token_from_Key_Vault')?['value']}
- 价值：
和以前一样，让我们在没有任何评论操作的情况下运行这个剧本，以确保在我们将它连接回 Sentinel 实例之前一切正常。如果一切顺利，我们将在助手消息中获得 200 状态代码和 MITRE ATT&CK 战术和技巧的精彩总结。
现在是简单的部分：使用 Sentinel 连接器添加事件评论。我们将使用 Parse JSON 操作解析响应正文，然后使用 ChatGPT 回复中的文本初始化一个变量。因为我们知道响应格式，所以我们知道可以使用以下表达式从索引 0 的 Choices 项中提取回复：
@{body('Parse_JSON')?['choices']?[0]?['message']?['content']}
以下是已完成的逻辑应用程序流程的鸟瞰图：
让我们试试吧！我在本 OpenAI 和 Sentinel 系列的第一部分中包含了该剧本的前一次迭代留下的评论 - 将达芬奇文本完成的输出与 Turbo 模型的聊天交互进行比较很有趣。
WPS Office是一款面向macOS用户的综合办公套件，将文字处理、电子表格、演示文稿、PDF工具、模板与云协作整合在同一应用中。它兼容常见Microsoft Office格式，支持Intel及Apple芯片Mac，基础功能可免费使用，
Shapr3D是一款面向工业设计、机械工程、建筑概念和三维打印工作流的CAD软件。Mac版采用Parasolid建模内核，支持草图约束、实体建模、工程图、可视化渲染及常见CAD格式交换，并可通过账户在多台设备之间同步项目。
REAPER是Cockos开发的数字音频工作站，提供多轨音频与MIDI录制、剪辑、处理、混音和母带制作工具。Mac版兼容Intel与Apple芯片，支持AU、VST、VST3、CLAP等插件格式，并提供高度可定制的工作流程。
Ableton Live 是面向音乐制作人与现场表演者的数字音频工作站，提供编曲视图、独具特色的现场视图、音频录制、MIDI创作、实时变速、乐器及效果器。Mac版原生支持Apple芯片，并可连接音频接口、MIDI控制器和第三方插件。
Adobe After Effects 是面向动态图形、影视特效与视频合成的专业创作软件。它提供关键帧动画、遮罩抠像、运动跟踪、三维空间、文字动画和表达式等工具，并可与 Premiere Pro、Photoshop、Illustrator
Adobe Audition 是面向播客、影视后期、音乐制作及内容创作者的专业音频工作站，提供波形精修、多轨录制与混音、频谱编辑、降噪修复、响度匹配和效果处理工具，并可与 Adobe Premiere 协同完成视频声音制作。
Adobe Bridge 是面向摄影师、设计师及内容团队的免费数字资产管理工具，可集中预览照片、视频和 Adobe 项目文件，并利用评级、标签、关键词、元数据、筛选与收藏集完成分类检索。它还支持批量重命名、格式导出、相机导入及 Camera
Adobe Illustrator 是 Adobe 推出的专业矢量图形设计软件，适合在 Mac 上制作标志、图标、插画、包装、信息图及印刷版面。它以路径和锚点构建可无损缩放的图形，并提供钢笔、形状、文字、图像描摹、渐变、画板及生成式功能。
Adobe InDesign 是面向印刷品与数字出版物的专业版面设计软件，可在 Mac 上制作书籍、杂志、宣传册、海报、报告及交互式文档。它提供精细的文字样式、网格、母版、长文档管理和印前输出能力。
Adobe Lightroom Classic 是面向桌面摄影工作流的照片管理与后期处理软件，可将原始照片保存在本地硬盘，通过目录、关键词、评分和收藏夹高效整理图库，并提供 RAW 冲印、蒙版、镜头校正、批量同步及多格式导出等功能。
Adobe Media Encoder 是 Adobe 推出的专业音视频编码与转码工具，可通过队列、预设和监视文件夹批量完成格式转换、代理文件创建及多平台成片输出，并与 Premiere Pro、After Effects 等软件紧密协作。
Adobe Photoshop 是面向摄影师、设计师和内容创作者的专业图像处理软件，提供图层、蒙版、选区、修复、调色、文字排版、智能对象及生成式编辑等能力。Mac 版支持 Intel 与 Apple Silicon 处理器。
Adobe Photoshop 是面向摄影师、设计师和内容创作者的专业图像处理工具，可在 Windows 上完成照片修饰、选区抠图、图层合成、文字排版、绘画及生成式编辑。软件采用订阅授权，由 Creative Cloud 管理安装、更新与许
Adobe InDesign 是面向印刷与数字出版的专业页面排版工具，可制作书籍、杂志、宣传册、海报、交互式 PDF 和电子书。它提供精细的文字样式、多页面管理、印前检查及多格式输出能力，并能与 Photoshop、Illustrator
Adobe Illustrator 是用于绘制矢量图形、插画、图标、徽标和版式的专业设计工具。它以路径和锚点为核心，作品放大后仍能保持清晰，并提供画板、文字、渐变、图像描摹及精确变换等功能，适合品牌视觉、印刷物料、数字界面和商业插画创作。
Adobe Bridge 是 Adobe 推出的创意资产管理工具，可集中预览、分类和查找照片、视频、PDF及多种设计文件，并支持元数据、关键词、评级、批量重命名和格式导出。它可与 Photoshop、Illustrator 等应用衔接，
Affinity Photo 是一款面向摄影师、修图师和视觉设计人员的桌面图像编辑工具，提供 RAW 显影、多图层合成、蒙版、实时滤镜、批处理和色彩管理等功能。原独立产品已停止销售，其照片编辑能力已延续至免费的新 Affinity 应用；
Adobe Lightroom Classic 是面向 Windows 桌面摄影工作流的照片管理与无损编辑工具，可通过目录集中整理大型图库，并完成 RAW 显影、局部蒙版、批量调整、打印和多格式导出。它强调本地文件管理与精细控制，
Figma 是面向产品设计与开发团队的云端协作平台，可在 Windows 桌面客户端中完成界面绘制、组件管理、交互原型、评论评审和开发交付。文件保存在云端，多名成员能够同步编辑并共享设计系统；官方同时提供免费 Starter 方案及按席位计
Affinity Designer 是面向矢量图形、数字插画和界面设计的专业创作工具，可在矢量、像素与导出工作区之间快速切换。它提供曲线编辑、形状构建、画板、排版、图层和专业色彩管理，并支持常见设计文件的导入及多种印刷、网页格式输出。
Capture One Pro 是面向摄影师和影像团队的专业桌面照片处理工具，提供相机定制色彩配置、RAW转换、图层与蒙版、联机拍摄、目录及会话管理等功能。它适合棚拍、人像、商业产品、婚礼和风光摄影，
Adobe Acrobat Pro 是面向专业 PDF 工作的综合解决方案，可在 Windows 中创建、编辑、转换、比较、整理和保护文档，并支持表单、电子签名、扫描件文字识别及敏感信息永久遮盖。订阅还包含网页、移动服务和云端协作能力，
Adobe After Effects 是面向动态图形、动画与影视视觉特效制作的专业工具，可完成关键帧动画、图层合成、遮罩跟踪、抠像、文字动画和二维三维元素整合。Windows 版通过 Adobe Creative Cloud 安装及更新，
DaVinci Resolve是Blackmagic Design推出的一体化影视后期工具，将素材管理、非线性剪辑、专业调色、Fusion视觉特效、Fairlight音频处理和成片交付整合在统一工程中。免费版已覆盖多数个人创作需求，