使用 Elastic Security 实现您自己的“检测即代码”

从一开始，Elastic 检测规则 存储库 不仅包含 Elastic 的预构建检测规则，还包含用于检测规则管理的额外工具——例如 Elastic 威胁研究和检测工程 (TRaDE) 团队所使用的一套测试、CLI 命令和自动化脚本。

多年来，Elastic 的 TRaDE 团队一直遵循“检测即代码”(DaC) 的实践，为 Elastic 预构建检测规则和终端规则的内部开发及发布流程提供支持。过去，客户主要使用 检测-rules CLI，它提供了 Kibana API 封装和 CLI 命令，以促进 Elastic SIEM 的规则管理，但它要求用户采用 Elastic 的内部流程和严格的限制。

随着 DaC 日益主流化，并延续我们对开放性的承诺，承诺开放，我们正在努力让用户更轻松地使用 Elastic 的 检测-rules repo 来启动其自身的 DaC 流程，以进行规则管理。此次 DaC 扩展将建立在先前的检测规则功能之上，为检测工程师提供端到端体验。

该方法加强了安全团队之间的协作，精简了更新流程，并有助于更敏捷地响应不断演变的威胁。从根本上讲，我们致力于通过向客户开放更多内部功能，供其嵌入到自身流程中，从而提升客户的检测工程成熟度。

DaC 的采用受多种因素驱动：

• 推动安全团队成熟度：实施 DaC 有助于在安全团队内部开发成熟、可重复的流程。它通过系统的同行评审和严格的测试，支持维护高质量的检测。

• 不断增长的规则集：随着规则数量的增加，在没有 DaC 的情况下维护检测规则变得难以为继。

• 不断扩大的威胁态势： 为Protect新兴威胁所需的覆盖广度，需要一种适用于不同技能水平的可扩展性的方法。

• 更广泛地采用自动化：技术环境中向自动化发展的更广泛趋势（以采用 IaC 原则为例）要求安全团队使用的所有工具都具备更强的自动化能力。DaC 通过将规则管理集成到自动化工作流中来顺应这一趋势，从而确保了一致性、效率以及快速响应新威胁的能力。

• 合规与治理要求： 许多组织正在采用 DaC，以满足针对 SIEM 检测的同行评审、变更控制和灾难恢复的认证合规要求。实施 DaC 可确保安全规则遵循严格的治理标准进行开发、审查和维护，从而提供可审计的合规证据。

在参考文档和幻灯片中，您可以阅读更多关于 DaC 核心组件的信息： 

1. 在版本控制系统 (VCS) 中维护规则

2. 将规则从 VCS 同步到其各自的 Platform

3. 在Platform内管理规则

4. 将规则从 Platform 同步至 VCS

此外，我们还记录了不同的模型，以使用以下方式管理 DaC 的核心组件：

1. 作为权威来源的 VCS

2. 作为权威的Platform

3. VCS 与Platform之间的双向同步

根据所需的方法，我们提供不同层级的详细信息；这些信息距离 Elastic Security 解决方案越远，就越抽象。

幻灯片：这些幻灯片阐述了高级组件、工作流和划分。它还涉及使用检测规则存储库的好处以及一个快速入门端到端参考示例。

参考文档：本参考文档汇集了开发、部署和管理检测规则时的注意事项、优缺点，特别是在 Elastic Security 环境中。它对以下人员尤为有益：

• 希望利用自动化实现更高效的规则管理并能更迅速地应对新兴威胁的Security分析师

• 寻求简化检测逻辑开发、测试和部署方法的检测工程师

• 寻求在其团队内实施规则版本控制、协作和质量保证最佳实践的 Security 团队主管

• 参与将安全实践集成到 CI/CD 管道中的 DevOps 工程师，旨在其工作流中实现更具凝聚力和自动化的安全方法

• 正在探索如何将“即代码”(as-code) 原则融入安全运营以增强敏捷性、可重复性和可靠性的 IT 安全架构师

对于希望获得更明确指导的人员，我们确实提供了偏向于检测规则的方法。请注意，alpha 检测规则分支、这些幻灯片中的内容以及本参考指南可能会有所变动。一旦我们最终将更改迁移到 `main` 分支，我们将相应地更新内容。

本文中描述的任何功能或功能性的发布和时间均由 Elastic 自行决定。当前尚未发布的任何功能或功能性可能无法按时提供或根本无法提供。