הגדרת Elastic Security SIEM על ELK Stack

הגדרת Elastic Security SIEM על ELK Stack

אנו מגדירים את Elastic Security לניטור אבטחה מרכזי בהתבסס על ה-Elastic Stack הקיים שלכם. אם אתם כבר משתמשים ב-Elasticsearch ו-Kibana לאיסוף לוגים של יישומים, הוספת יכולות SIEM היא צעד הגיוני: אותם כלים, תשתית משותפת, נקודת כניסה אחת. אבל יש ניואנס: נתוני SIEM דורשים סכמת אינדקס שונה, מדיניות שמירה נפרדת, וגישה שונה מהותית לרישוי. ללא הגדרה נכונה, אתם מסתכנים בטביעה ברעש התראות—false positives יכולים לעלות על 90% מכל ההתראות. למהנדסים שלנו יש ניסיון של 7+ שנים עם Elastic Stack והם ביצעו 40+ פרויקטי SIEM—מסטארטאפים קטנים ועד קלאסטרים ארגוניים המעבדים עד 100 GB של לוגים ביום.

כיצד Elastic Security פותר נורמליזציה של לוגים

הרעיון המרכזי של Elastic Security הוא שכל האירועים מאוחדים תחת Elastic Common Schema (ECS). זה מאפשר כתיבת כללי זיהוי פעם אחת עבור כל מקור נתונים: כשל אימות SSH בלינוקס נראה אותו דבר כמו כשל אימות מ-Windows Event Log או לוג גישה של Nginx—אותו שדה event.outcome: failure, אותו source.ip, אותו user.name. כללי קורלציה עובדים על גבי נתונים מנורמלים. בניגוד ל-SIEM מסורתיים הדורשים הגדרת parsing עבור כל מקור, ECS מקטין את זמן ההתאמה פי 2-3. התיעוד הרשמי קובע: ECS מספק מבנה נתונים עקבי עבור כל אירועי האבטחה.

Filebeat עם מודולים מנתח ומנרמל אוטומטית מקורות פופולריים:

---
# /etc/filebeat/filebeat.yml
filebeat.modules:
  - module: system
    syslog:
      enabled: true
    auth:
      enabled: true
  - module: nginx
    access:
      enabled: true
      var.paths: ["/var/log/nginx/access.log*"]
    error:
      enabled: true
  - module: auditd
    log:
      enabled: true
output.elasticsearch:
  hosts: ["https://elasticsearch:9200"]
  ssl:
    certificate_authorities: ["/etc/filebeat/certs/ca.crt"]
  username: "filebeat_writer"
  password: "${FILEBEAT_PASSWORD}"
  index: "filebeat-%{[agent.version]}-%{+yyyy.MM.dd}"

הגדרת מנוע הזיהוי

מנוע הזיהוי של Elastic Security הוא קבוצה של כללי זיהוי המבצעים שאילתות KQL או EQL כנגד אינדקסים בזמן אמת או בלוח זמנים. Elastic מספקת 1000+ כללים מובנים מ-Elastic והקהילה. אבל צריך להפעיל אותם ולכוונן עם ספים מתאימים—אחרת נוצרת עייפות התראות. אנו מגדירים severity ו-risk_score עבור התשתית שלכם כך שאירועים קריטיים לא יטבעו ברעש. לדוגמה, כלל לזיהוי הסלמת הרשאות באמצעות בינארי SUID מפחית false positives ב-70% בזכות קורלציה של רצף אירועים.

כלל מותאם אישית לזיהוי הסלמת הרשאות באמצעות בינארי SUID:

{ "name": "SUID/SGID Bit Set on File",
  "description": "Detects chmod with SUID/SGID bits which may indicate privilege escalation attempt",
  "risk_score": 73,
  "severity": "high",
  "type": "eql",
  "language": "eql",
  "query": "sequence by host.id, user.name [process where process.name == 'chmod' and process.args : ('u+s', 'g+s', '+s', '4755', '2755', '6755')] [file where event.action == 'change' and file.mode : ('4*', '2*', '6*')]",
  "index": ["logs-endpoint.events.*", "filebeat-"],
  "interval": "5m",
  "from": "now-6m",
  "tags": ["MITRE ATT&CK", "Privilege Escalation", "T1548.001"]
}

EQL (Event Query Language) הוא כלי חזק לקורלציית אירועים. בדוגמה למעלה: רצף של # /etc/filebeat/filebeat.yml filebeat.modules: - module: system syslog: enabled: true auth: enabled: true - module: nginx access: enabled: true var.paths: ["/var/log/nginx/access.log*"] error: enabled: true - module: auditd log: enabled: true output.elasticsearch: hosts: ["https://elasticsearch:9200"] ssl: certificate_authorities: ["/etc/filebeat/certs/ca.crt"] username: "filebeat_writer" password: "${FILEBEAT_PASSWORD}" index: "filebeat-%{[agent.version]}-%{+yyyy.MM.dd}" עם דגל SUID ואחריו שינוי קובץ עם bit setuid על אותו מארח על ידי אותו משתמש בתוך 6 דקות.

העשרת אירועים ומודיעין איומים

Elastic Security תומך ב-Threat Intelligence Indicators—אנו טוענים הזנות IOC (כתובות IP זדוניות ידועות, דומיינים, hashes של קבצים) ומתאימים אותם אוטומטית כנגד אירועים נכנסים. לאחר שילוב הזנות, מספר התקריות שזוהו גדל בממוצע ב-30% בזכות התאמה עם מאגרי איומים חיצוניים.

# Загрузка TI feed через Filebeat ThreatIntel модуль
filebeat modules enable threatintel

# filebeat.yml - добавляем TI источники
- module: threatintel
  abuseurl:
    enabled: true
    var.interval: 24h
  misp:
    enabled: true
    var.url: https://misp.internal.example.com
    var.api_key: "${MISP_API_KEY}"
    var.interval: 1h

ראוי לציין, כאשר ה-{ "name": "SUID/SGID Bit Set on File", "description": "Detects chmod with SUID/SGID bits which may indicate privilege escalation attempt", "risk_score": 73, "severity": "high", "type": "eql", "language": "eql", "query": "sequence by host.id, user.name [process where process.name == 'chmod' and process.args : ('u+s', 'g+s', '+s', '4755', '2755', '6755')] [file where event.action == 'change' and file.mode : ('4*', '2*', '6*')]", "index": ["logs-endpoint.events.*", "filebeat-"], "interval": "5m", "from": "now-6m", "tags": ["MITRE ATT&CK", "Privilege Escalation", "T1548.001"] } של אירוע נכנס תואם לכתובת IP זדונית ידועה מהזנת TI, נוצרת התראה אוטומטית עם הקשר: איזו הזנה, מתי נוספה, מדוע סומנה כזדונית. השאירו בקשה להגדרת אינטגרציה עם מקורות ה-TI שלכם.

למה לבחור ב-Fleet לניהול סוכנים?

Elastic Agent עם Fleet Server מספק ניהול מדיניות מרכזי לסוכנים. הגדירו Fleet Policy פעם אחת: אילו נתונים לאסוף, אילו אינטגרציות להפעיל, אילו כללי זיהוי ליישם. הסוכנים מקבלים עדכוני מדיניות אוטומטית ללא SSH לכל שרת. זה מפחית את העומס התפעולי ב-40% בהשוואה לניהול beats ידני.

# Установка Elastic Agent с Fleet enrollment
curl -L -O https://artifacts.elastic.co/downloads/beats/elastic-agent/elastic-agent-8.16.1-linux-x86_64.tar.gz
tar xzvf elastic-agent-8.16.1-linux-x86_64.tar.gz
cd elastic-agent-8.16.1-linux-x86_64
./elastic-agent install \
  --fleet-server-es=https://elasticsearch.internal:9200 \
  --fleet-server-service-token=AAEAAWVsYXN0aWMvZm... \
  --fleet-server-es-ca=/etc/ssl/certs/elasticsearch-ca.crt \
  --fleet-server-port=8220

לאחר מכן, סוכנים חדשים נרשמים דרך ממשק Fleet—ללא הגדרה ידנית של Filebeat, Auditbeat, Packetbeat על כל מארח. בחנו את היתרונות של ניהול מרכזי—השאירו בקשה.

מה כלול בהגדרת SIEM?

אנו מספקים את מחזור העבודה המלא:

• ביקורת תשתית נוכחית: מקורות לוגים, תכנון קיבולת, רישוי.
• פריסת Elastic Security עם Fleet והגדרת אינטגרציות.
• הגדרת 50+ כללי זיהוי (מובנים + מותאמים אישית לאיומים שלכם).
• שילוב מודיעין איומים (MISP, AbuseIPDB, AlienVault).
• תיעוד Runbook והדרכת צוות (2 מפגשים של שעתיים).
• תמיכה לאחר השקה למשך 30 יום.

לשם השוואה, היקף עבודה דומה עם Wazuh ייקח 30% יותר זמן בגלל הגדרת parsing ידנית.

מה מייחד את Elastic Security מול מתחרים?

Elastic Security מעבד עד 50,000 אירועים בשנייה על צומת בודד, שזה פי 2 יותר מ-Wazuh בתצורה דומה. בינתיים, עלות רישיון Basic מאפשרת התחלה בהשקעה מינימלית, בעוד ש-Platinum מוסיף ניתוח ML וקורלציה מתקדמת ללא שינוי הסט. Splunk דורש רכישת רישיון SIEM נפרד, מה שמגדיל עלויות פי 1.5–2 עבור אותו נפח נתונים.

בקשו ביקורת על התשתית שלכם וקבלו תוכנית יישום תוך יומיים. אנו נתאים את הארכיטקטורה להיקף שלכם.