让您的 SOC 团队体验统一的预构建 SIEM 检测规则。

随着 <a href="/cn/blog/elastic-security-7-6-0-released">Elastic 安全 7.6</a> 的发布，我们宣布推出全新开创的现代风格检测引擎，该引擎能够通过 Elastic SIEM Detections 视图让 SOC 团队体验统一的 SIEM 规则。&nbsp;这一检测引擎基于一套专门构建的 Elasticsearch 分析引擎开发而成，可在 Kibana 中新的分布式执行平台上运行。&nbsp;在本篇博文中，我们将会简要概述一下 Elastic SIEM 中的检测工作流，还会讨论旨在帮助用户无缝完成这些检测工作的全新 UI 和后端功能。在我们讲解检测过程之前，这里有一个快速提示：如果您已准备好试用 SIEM 应用，请访问我们<a href="/cn/blog/elastic-siem-for-small-business-and-home-1-getting-started">面向小型企业和居家微型企业的 SIEM 博文系列</a>。该系列涵盖很多内容，包括如何通过免费的 <a href="/cn/products/elasticsearch/service">Elasticsearch Service 试用服务</a>在云端完成设置，如何使用 Beats 从您的系统收集数据并将数据流式传输至 SIEM，等等。（这些操作比您想象的要简单得多！） 我们还<a href="/guide/en/siem/guide/7.6/install-siem.html">针对混合部署提供了一套入门指南</a>。 <h2>针对信号管理过程的 UI 工作流
</h2>Elastic SIEM Detections 视图的最基本内容是信号，也就是当满足信号检测规则的条件时所创建的 Elasticsearch 文档。如果考虑最简单的情况，对于符合规则中所定义查询的每个事件，均会创建一份信号文档。信号文档包括相匹配文档中的字段副本，并且会保存在一个单独的信号索引中。在创建信号时，并不会修改原始事件。信号会出现在 SIEM 应用中。当从业人员首次看到某个新信号时，该信号处于“打开”状态。在分析并确定了后续步骤之后，从业人员会将状态变为“关闭”。所有这些变更均可在 SIEM 应用中的 Detections（检测）视图内进行管理。<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt828482255973f9c4/5e669becc39d9b5d36c3d124/siem_detections_histogram_sorted_risk_score.png"> 
 信号计数直方图会显示处于打开状态的信号，并让相关人员跨多个属性进行快速比较：<ul><li>分数、严重性、类型、名称或 MITRE ATT&CK™ 策略名称&nbsp;</li><li>IP 地址的来源或目的地</li><li>事件操作或<a href="/guide/en/ecs/1.4/ecs-allowed-values-event-category.html">类别</a></li><li><a href="/guide/en/ecs/1.4/ecs-allowed-values-event-category.html"></a>主机或用户名称</li></ul><img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltebdcb7c7316b8bb7/5e669d474e03445d41facf35/siem_detections_signal_histogram.gif"> 下一步是在 Timeline 中调查信号： <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt4e14d9a0b0452596/5e669de00b333d44908d0e40/siem_detections_signals_timeline_view_in_timeline_with_id.png"> 
如果您在<a href="/guide/en/siem/guide/7.6/rules-ui-create.html#create-rule-ui">创建规则</a>时并未指定时间线模板，则会用信号文档来填充 Timeline。如果您指定了时间线模板，则会使用用户所保存的内容来填充 Timeline，以帮助加快特定规则类型的调查速度。 <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt4ddf4e3f1426a1a2/5e669dad6d9a795c6ecf10d4/siem_detections_signals_timeline_view_in_timeline_with_template.png"> 相关人员可以在专门的“外部告警”选项卡中查看来自外部告警系统（<a href="/cn/blog/introducing-elastic-endpoint-security">Elastic Endpoint Security</a>、Suricata 或 Zeek）的告警。很多公司/组织还会实施规则以针对高价值的外部告警生成信号，以便受益于优化的信号调查工作流。<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt761ddf4865c94d43/5e669f706a12c038f19ec035/siem_detections_external_alerts_tab.png"> 分析师调查信号或信号集并取得满意结果后，便可以逐个或批量关闭信号。如有必要，信号也可以重新打开。我们正在研究在未来的版本中可以通过什么方法来自动关闭信号。 <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltda92d9e0aceff2b7/5e669fc018b328555145dd83/siem_detections_signals_close_signal_hover.png"> <h2 style="background-color: rgb(255, 255, 255);"> </h2><h2 style="background-color: rgb(255, 255, 255);">针对规则创建过程的 UI 工作流</h2>如想开始显示信号，检测过程的运行离不开规则！为 SIEM 检测过程创建规则十分简单和直接。归结下来，可以分为三个基本步骤：1) 生成每次运行规则时所要用的查询。查询可以是 Lucene 语法、<a href="/guide/en/kibana/7.6/kuery-query.html">KQL</a>、已保存的搜索，或者还可以从已保存的时间线导入查询（还有很多针对规则中所含查询的选项正在开发之中，在未来版本中会亮相）：<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltc1a892690f4dc394/5e66a04363a80b5c6fc5a1bf/siem_detections_create_rule_custom_query.png"> 2) 为规则添加一些描述性信息（标题、描述，等等）： <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt950d4ac86c74a8c6/5e66a09b6d9a795c6ecf10da/siem_detections_create_about_rule.png"> 3) 设定好规则运行的间隔时间，以及用于合理性检验的任何<a href="/guide/en/siem/guide/7.6/rules-ui-create.html#create-rule-ui">额外回查时间</a>。通常我们建议设置一些回查 (look-back) 时间，以便应对特定用户采集管道中可能发生的延迟。建议设置一些回查时间的另一个原因是，我们不能确保规则会在所设置的准确间隔时间点运行，所以在运行过程之间可能会有延迟。任务管理器工作线程队列超载或者<a href="/cn/blog/advanced-tuning-finding-and-fixing-slow-elasticsearch-queries">计算资源</a>不足会导致发生此类延迟。 <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt7175ab0a1e156ec1/5e66a0cc329c6c3829894d56/siem_detections_create_rule_schedule.png"> 这三项内容是检测规则的三个基本构成元素。我们还提供了一些设置来根据 MITRE ATT&CK 策略和技巧对规则进行分类，也提供了一些指向更多参考信息的链接。 <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltadabd5e1e1fac099/5e66a11f63a80b5c6fc5a1c5/siem_detections_create_advanced_settings_blank_timeline.png"> 用户还可以单独或批量对既有规则进行操作，例如复制（以进行自定义）、停用、导出和删除规则。我们还有一份指南，其中为您提供了有关<a href="/guide/en/siem/guide/7.6/rules-ui-create.html">一般性规则管理</a>的详细信息。 <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltd9fc55f1c8850ce7/5e66a1540b333d44908d0e52/siem_detections_rules_deactivate_selected.png"> <h2 style="background-color: rgb(255, 255, 255);"> </h2><h2 style="background-color: rgb(255, 255, 255);">预构建的规则</h2>开发规则是一件很困难的事儿，而且测试规则十分费时。有鉴于此，Detections 视图最初包括由 Elastic 安全部门的情报和分析团队开发的 92 个预构建规则，这些规则<a href="/cn/blog/securing-our-own-endpoints-with-elastic-security">已经在 Elastic 的生产环境中得到了广泛使用</a>。我们同时也在<a href="/cn/blog/playing-defense-against-gamaredon-group">持续开发</a>新规则以应对最新的关键威胁。要想加载并开始运行这些规则，操作十分简单，单击一个按钮就行！有关如何使用和调整预构建规则的更多信息，请参见<a href="/guide/en/siem/guide/7.6/prebuilt-rules.html">此处</a>。<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blte20be84367f8f502/5e66a17e18b328555145dd8b/siem_detections_signal_rules_load_prebuilt_rules_screen.png"> <h2 style="background-color: rgb(255, 255, 255);"> </h2><h2 style="background-color: rgb(255, 255, 255);">Detections 实施详情</h2><a href="/cn/blog/alerting-in-the-elastic-stack">Elastic Stack 中的 Alerting</a>&nbsp;作为一级实体添加到 Kibana 中以提供告警支持后不久，Elastic SIEM 便利用告警来作为检测工作的基础了。在 UI 的幕后，Detections 视图会使用一个基于 <a href="https://github.com/elastic/kibana/blob/v7.6.0/x-pack/legacy/plugins/alerting/README.md">Alerting API</a>&nbsp;架构的 <a href="/guide/en/siem/guide/7.6/rule-api-overview.html">API</a>。SIEM Detections API 能够让您体验便捷性，为您提供工作流（例如打开和关闭信号），让您了解安全相关的域具体信息（例如 MITRE ATT&CK 识别），同时还<a href="/guide/en/kibana/7.6/kuery-query.html">支持 KQL</a>。<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltfc2a6219ce8d8cd5/5e66a1a418b328555145dd91/siem_detections_rules_define_rule_saved_query.png"> 
规则在幕后是这样运行的：先创建一个 API 密钥，然后借助此 API 密钥来代表用户提交请求。这些规则会使用&nbsp;<a href="/guide/en/elasticsearch/reference/7.6/search-request-body.html#request-body-search-search-after">search after</a> 来找到匹配的事件，并使用&nbsp;<a href="/guide/en/elasticsearch/reference/7.6/docs-bulk.html">bulk create</a>&nbsp;来将事件相关信息复制到信号索引中的信号文档内。信号由下列两部分组成：规则详情，以及与规则相匹配的原始事件文档的详情。 <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltfc78b7cafe4517d9/5e66a1bf0b6249392652ce1d/siem_detections_api_key_screen.png"> 
如果在单次规则执行过程中发现了超过 100 份匹配的文档，则只会将最后 100 条匹配结果复制到索引文档中（按照 @timestamp 降序排列）。在您首次访问信号检测规则页面时，会为每个 Kibana 空间自动生成一个信号索引。索引名称的格式为 .siem-signals-<space name="">。对于默认空间，或者如果未启用空间，则信号索引名称为 .siem-signals-default。为每个空间创建的每个信号索引都有一个索引<a href="https://github.com/elastic/kibana/blob/v7.6.0/x-pack/legacy/plugins/siem/server/lib/detection_engine/routes/index/signals_policy.json">生命周期管理</a>设置，在达到 50 GB 或 30 天时进行滚动更新。&nbsp; 信号索引会无限期保留。</space>SIEM 信号索引的映射是将 <a href="https://github.com/elastic/kibana/blob/v7.6.0/x-pack/legacy/plugins/siem/server/lib/detection_engine/routes/index/ecs_mapping.json">Elastic Common Schema (ECS)</a> 和我们针对<a href="https://github.com/elastic/kibana/blob/v7.6.0/x-pack/legacy/plugins/siem/server/lib/detection_engine/routes/index/signals_mapping.json">信号定义</a>的定制映射结合在一起。当通过规则中所含的查询检测到相符的文档时，系统会从源索引复制字段，并且如果源文档中的字段符合&nbsp;<a href="/cn/blog/introducing-the-elastic-common-schema">ECS</a> 规范，则生成的信号字段是可搜索的。即使索引文档中的字段并不符合 ECS 规范，它们仍会存储在信号的 _source 中，并且可以在 Timeline 及应用程序的其他部分查看，但是您不可对它们进行搜索。 <h2 style="background-color: rgb(255, 255, 255);">可扩展性</h2>Detections UI 是在新开发的&nbsp;<a href="https://github.com/elastic/kibana/blob/v7.6.0/x-pack/legacy/plugins/alerting/README.md">Kibana Alerting 框架</a>和 Kibana 任务管理器的基础之上构建而成的。这两大基础提供了水平和垂直扩展功能，能够让您灵活调整以最大程度契合可用的硬件资源（无论规模大小）。您可以增加 Kibana&nbsp;<a href="https://github.com/elastic/kibana/blob/v7.6.0/x-pack/plugins/task_manager/server/README.md">任务管理器工作线程</a>的数量以实现垂直扩展，或者还可以在不同的 Kibana 实例之间进行复制以实现水平扩展。如果有多个 Kibana 实例在同时运行，任务管理器会在它们之间进行协调，以便跨实例实现任务均衡。通过更新 kibana.yml 中 max_workers 的数量（默认值为 10），您可以垂直进行规模缩放，以便准确、更高效地为每个 Kibana 节点分配资源。 <h2 style="background-color: rgb(255, 255, 255);">信号去重</h2>规则运行时，它会基于所找到的、与规则中所含查询相匹配的事件生成信号。有时会因为下列情况而创建重复信号：不同规则中有重叠的查询，或者某一规则连续运行两次并由于额外回查时间较长而采集到同一信号。为避免信号表格中出现重复信号，我们会根据下列内容来识别信号：源事件所属的索引、源事件的文档 id、源事件的版本号，以及所运行规则的 id。通过对<a href="https://github.com/elastic/kibana/blob/v7.6.0/x-pack/legacy/plugins/siem/server/lib/detection_engine/signals/utils.ts#L11-L19">这些属性</a>进行哈希运算，我们可以确保仅向信号索引中添加唯一的信号。<h2 style="background-color: rgb(255, 255, 255);">错误</h2>有时会由于规则查询中的语法错误或者规则运行期间的某些其他问题而出现错误。我们会在规则详情页面的“故障历史”选项卡提供这些信息。我们计划未来会扩展下列两方面的可见性：规则执行信息，以及一般性的规则监测过程。&nbsp;<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltffc432e29392e581/5e66a1de0b6249392652ce23/siem_detections_error_string.png"> 在这里，我们可以看到故障历史，会列出规则执行期间出现的最后五个错误： <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt92ce96e19860407b/5e66a1f6c39d9b5d36c3d13e/siem_detections_failure_history_tab.png"> 
<h2 style="background-color: rgb(255, 255, 255);"> </h2><h2 style="background-color: rgb(255, 255, 255);">SIEM Detections 的未来发展</h2>在开发和发布这一 Elastic SIEM Detections 测试版的过程中，最激动人心的部分就是持续从&nbsp;<a href="https://discuss.elastic.co/c/siem">Elastic SIEM 论坛</a>获得的早期社区反馈，以及我们的<a href="https://github.com/elastic/kibana/issues?utf8=%E2%9C%93&q=is%3Aopen+is%3Aissue+label%3ATeam%3ASIEM+detection">未完成功能跟踪列表</a>。&nbsp;为了向您提供更强大的检测功能，我们已经制定了宏大计划，例如，扩展规则中所含的查询以将聚合、Machine Learning 作业和 EQL 包括进来，还有很多。如果您有关于安全用例的好点子，或者希望向我们提问了解最新动态，欢迎加入我们！

blog-gears-steel-banner.jpg

blog-gears-steel-thumb.jpg

Elastic SIEM detections

Elastic SIEM Detections

Start free trial

Blog Footer CTA

Sign up for Elastic Cloud free trial

Devin Hurley

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_self">Terms of Service</a>, and you agree to receive the <a href="/legal/privacy-statement#how-we-use-the-information" target="_self">selected communications</a> at the contact details you provided above. See <a href="/legal/privacy-statement/" target="_self">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Communication Preferences - ONLY for /communication-preferences

提交即表示您确认您已阅读并同意我们的<a href="/cn/legal/elastic-cloud-account-terms" target="_self">服务条款</a>，并且您同意通过您提供的上述联系方式接收<a href="/cn/legal/privacy-statement#how-we-use-the-information" target="_self">所选的通信</a>。如需了解更多信息，或想随时取消订阅，请参阅 <a href="/cn/legal/privacy-statement/" target="_self">Elastic 的隐私声明</a>。

By submitting you acknowledge that you've read and agree to our <a href="/legal/serverless-preview-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Serverless GDPR Text

提交即表示您确认您已阅读并同意我们的<a href="/cn/legal/serverless-preview-terms" target="_self">服务条款</a>，并且 Elastic 可以使用您提供的上述详细信息与您联系，以向您介绍我们相关的<a href="/cn/legal/privacy-statement#how-we-use-the-information" target="_self">产品和服务</a>。如需了解更多信息，或想随时取消订阅，请参阅 <a href="/cn/legal/privacy-statement/" target="_self">Elastic 的隐私声明</a>。

By submitting you agree to <a href="/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud Terms of Service</a>. Your personal data will be processed in accordance with <a href="/legal/privacy-statement">Elastic's Privacy Statement</a>.

Cloud Trial GDPR Text

提交即表示您同意 <a href="/cn/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud 服务条款</a>。我们将会按照 <a href="/cn/legal/privacy-statement">Elastic 的隐私声明</a>处理您的个人数据。

By submitting you acknowledge that you've read and agree to our <a href="/legal/terms-of-use" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Newsletter GDPR Text

提交即表示您确认您已阅读并同意我们的<a href="/cn/legal/terms-of-use" target="_self">服务条款</a>，并且 Elastic 可以使用您提供的上述详细信息与您联系，以向您介绍我们相关的<a href="/cn/legal/privacy-statement#how-we-use-the-information" target="_self">产品和服务</a>。如需了解更多信息，或想随时取消订阅，请参阅 <a href="/cn/legal/privacy-statement/" target="_self">Elastic 的隐私声明</a>。

Explore similar demos

Overview

Speakers

Close

See more insights

The content on this page is not available in the selected language. As Elastic grows globally, we continue to support content in multiple languages.

The content on this page is not available in the selected language.

本页内容尚不支持所选语言。Elastic 正在不断努力，以实现对多种语言内容的支持。感谢您在此期间给予的耐心与陪伴！

Author

Articles by

Learn more

Watch now (no PT)

Watch now

See all top stories

All (no PT translation)

Contact information

Press Release

Share on Reddit

Share this story

Share by Email

Thank you for your interest!

Contact Info

Follow us on Youtube

Load More

Share on LinkedIn

Follow us on LinkedIn

Search Integrations

All Solutions

Video for

Follow us on Twitter

See when this webinar starts in my time zone

查看本次网络研讨会在我的时区的开始时间

Register to Watch

Register now

See All Posts

Can't make it? Register and we'll send you the recording. You'll also receive an email with related content

无法实时参加？注册后我们会给您发送录像。您还将收到相关内容的电子邮件。

Author

Articles by Devin Hurley

Elastic

Elastic SIEM Detections

Sign up for Elastic Cloud free trial