Elastic has been recognized as a Customers’ Choice in the 2021 Gartner Peer Insights ‘Voice of the Customer’: Security Incident and Event Management (SIEM) report with an overall rating of 4.6 out of 5.

blog-security-timeseries-radar-720x420.png

Elastic Security was recognized as a Customers’ Choice in 2021 Gartner Peer Insights ‘Voice of Customer’: SIEM Report

Wir freuen uns, die Einführung von Elastic SIEM bekanntgeben zu dürfen – unserem ersten großen Schritt auf dem Weg zur Umsetzung unserer Vision einer optimalen SIEM-Plattform. Mit dem Start von Elastic SIEM möchten wir auf dem Momentum und dem Ruf aufbauen, den der Elastic Stack bei Sicherheitsanalysten bereits genießt. In seiner ersten Version bietet Elastic SIEM einen neuen Satz von Datenintegrationen für Anwendungsfälle im Bereich der Sicherheitsanalyse sowie eine neue dedizierte App in Kibana, mit der Security Spezialisten häufige Sicherheits-Workflows für Host- und netzwerkbasierte Daten rationeller untersuchen und analysieren können.
Als Bestandteil unserer Standard-Distribution wird Elastic SIEM kostenlos bereitgestellt. Elastic SIEM wird als Beta in Version 7.2 des Elastic Stack eingeführt und steht ab sofort im <a href="/de/cloud/elasticsearch-service">Elasticsearch Service</a> auf Elastic Cloud und zum <a href="/de/downloads">Herunterladen</a> zur Verfügung.
<h2>Ergebnis jahrelanger Arbeit</h2>Der Elastic Stack erfreut sich seit einigen Jahren unter Security Spezialisten, die mit dem Schutz von Systemen und Daten vor Cyber-Bedrohungen betraut sind, wachsender Beliebtheit. <a href="/de/blog/security-events-logging-at-bell-canada">Bell Canada</a> und <a href="/de/elasticon/conf/2017/sf/security-at-slack">Slack</a> nutzen den Elastic Stack für ihre Sicherheitsanalysen. Bei <a href="/de/elasticon/conf/2016/sf/hunting-the-hackers-how-cisco-talos-is-leveling-up-security">Cisco Talos</a> basiert das Threat-Hunting-Programm auf Elasticsearch. <a href="/de/blog/omnisoc-high-speed-threat-detection-at-the-big-ten">OmniSOC</a>, ein von der Big Ten Academic Alliance errichtetes gemeinsames Cybersecurity-Operations-Center, und das <a href="/blog/switching-to-elasticsearch-to-improve-cybersecurity-for-the-worlds-fastest-supercomputer">Oak Ridge National Laboratory</a> haben den Elastic Stack zum Kernstück ihrer SIEM-Lösungen gemacht. Und auch zahlreiche Open-Source-Projekte, wie RockNSM, HELK und andere, nutzen den Elastic Stack zur Unterstützung von Security Operators.
Dass der Elastic Stack so hervorragend für Sicherheitsdaten geeignet ist, hat uns sehr gefreut. Durch die Community, die sich um diese Anwendungsfälle herum gebildet hat, wurden wir dazu inspiriert, in die Entwicklung grundlegender Features zu investieren, um ihr noch besser dienen zu können – so, wie wir das schon bei anderen Lösungen, wie Logging und APM, getan haben. Nachdem wir mit Filebeat, Winlogbeat und Auditbeat zunächst Sicherheitsinformationen und -ereignisse erfasst haben, haben wir die Palette der erfassten Host-basierten Sicherheitsdaten immer mehr erweitert. Das Hinzufügen von Integrationen für verbreitete Netzwerküberwachungssysteme und IDS-Lösungen, wie Bro/Zeek und Suricata, hat auch eine Erweiterung der Bandbreite der erfassten netzwerkbasierten Sicherheitsereignisse ermöglicht.
Je breiter das Angebot an Datenintegrationen wurde, desto mehr wurde uns auch bewusst, wie wichtig es ist, eine gemeinsame Methode zur Darstellung von Daten aus den verschiedensten Quellen zu haben. Zusammen mit unserer Community und unseren Partnern haben wir in den letzten 18 Monaten an der Entwicklung des Elastic Common Schema (ECS) gearbeitet, einer erweiterbaren Feld-Mapping-Spezifikation, die es gestattet, Daten aus unterschiedlichen Quellen schnell und einfach zu normalisieren, um eine quellenübergreifende Korrelation, Suche und Analyse zu ermöglichen.
Als es uns gelungen war, Möglichkeiten zur einfachen Erfassung von Sicherheitsdaten aus den verschiedensten Quellen zu finden und ein gemeinsames Schema für deren Aufbewahrung zu schaffen, bestand der nächste natürliche Schritt darin, eine Benutzeroberfläche zu entwickeln, die diese Teilstücke an einem zentralen Ort zu einem Ganzen vereint und für ein Nutzererlebnis sorgt, das ganz auf die Anforderungen von Security Practitioners zugeschnitten ist.
Hallo Elastic SIEM!
<h2>Neu im Programm: Elastic SIEM</h2>Herzstück von Elastic SIEM ist die neue SIEM-App, ein interaktiver Arbeitsbereich für Sicherheitsteams zur Analyse von Ereignissen und zur Durchführung erster Untersuchungen. Die App bietet einen Timeline Event Viewer, mit dessen Hilfe Analysten direkt in Kibana Indizien für einen Angriff erfassen und speichern, relevante Ereignisse markieren und mit Anmerkungen versehen und die Untersuchungsergebnisse kommentieren und mit anderen teilen können – Sie können so problemlos mit allen Daten arbeiten, die im ECS-Format vorliegen.
Kibana war schon immer eine hervorragende Möglichkeit für Sicherheitsteams, sicherheitsrelevante Daten zu visualisieren, zu durchsuchen und zu filtern. Die Elastic SIEM-App verpackt all die Aspekte, die Sicherheitsteams an Kibana so schätzen –&nbsp;Interaktivität, Ad-hoc-Suche und responsive Drill-downs&nbsp;– in einem intuitiven Produkt, das typische SOC-Workflows berücksichtigt.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt78b52a8a77855ab5/5d01b330ea19705f1784b099/introducing-elastic-siem-1.jpg" data-sys-asset-uid="blt78b52a8a77855ab5" alt="Elastic SIEM" "="">
Die SIEM-App ermöglicht im Rahmen von Alarmuntersuchungen oder des interaktiven Threat Huntings Analysen von Sicherheitsereignissen mit Host- und Netzwerkbezug, wie die folgenden:
<h3>Analyse von Host-Sicherheitsereignissen</h3>Zusätzlich zum umfangreichen Angebot an Visualisierungen und Dashboards in Kibana bietet die Ansicht „Hosts“ in der SIEM-App wichtige Metriken zu Sicherheitsereignissen im Zusammenhang mit dem Host sowie verschiedene Datentabellen, die die Interaktion mit dem Timeline Event Viewer ermöglichen. 7.2 bietet auch eine neue Host-basierte Datenerfassung mit Unterstützung für Sysmon in Winlogbeat.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt0a8f8d63938463bc/5d01b52bae9baaf01450ac67/introducing-elastic-siem-2.png" data-sys-asset-uid="blt0a8f8d63938463bc" alt="Ansicht „Host“ in Elastic SIEM" "="">
<h3>Analyse von Netzwerksicherheitsereignissen</h3>In der Ansicht „Network“ können Analysten wichtige Metriken zur Netzwerkaktivität finden, Daten zum Zeitpunkt der Untersuchung anreichern und auf Netzwerkereignistabellen zugreifen, die die Interaktion mit dem Timeline Event Viewer ermöglichen. Außerdem unterstützen wir ab Version 7.2 auch Cisco ASA- und Palo Alto-Firewalls.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt49f9d5bd0cd6f161/5d09f1b797f2babb5af91461/introducing-elastic-siem-3.jpg" data-sys-asset-uid="blt49f9d5bd0cd6f161" alt="Anzeige von Netzwerkereignissen in Elastic SIEM" "=""> 
<h3>Timeline Event Viewer</h3>Der Timeline Event Viewer dient als kollaborativer Arbeitsbereich für Untersuchungs- oder Threat-Hunting-Zwecke&nbsp;– Analysten können die sie interessierenden Objekte einfach in den Timeline Event Viewer ziehen und auf diese Weise genau den Abfragefilter erstellen, den sie benötigen, um zum Grund eines Alarms vorzustoßen. Während der Untersuchungen lassen sich einzelne Ereignisse markieren und mit Anmerkungen versehen, und die Analysten können Notizen hinzufügen, in denen sie die durchgeführten Untersuchungsschritte dokumentieren. Durch automatisches Speichern wird sichergestellt, dass die Incident Response Teams Zugriff auf die Untersuchungsergebnisse haben.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt87dfa7c4504b234a/5d01b807468d9dde14e96320/introducing-elastic-siem-4.gif" data-sys-asset-uid="blt87dfa7c4504b234a" alt="Timeline Event Viewer in Elastic SIEM" "="">
<h2>Die Reise geht weiter</h2>Wir bei Elastic sind bestrebt, schnell voranzuschreiten, die Versionsintervalle kurz zu halten und unseren Nutzern kontinuierlich nützliche Features bereitzustellen. Elastic SIEM ist nach unserer Überzeugung ein wichtiger Schritt auf dem Weg zur Umsetzung unserer Vision einer optimalen SIEM-Plattform, und das erste Feedback aus der Nutzer- und Partner-Community war überaus positiv.
Wir haben festgestellt, dass unser Partnerökosystem mit seinen globalen Systemintegratoren von Nutzern auch dazu genutzt wird, ganz natürlich den Elastic Stack für SIEM-Anwendungsfälle bereitzustellen.
„Mit der neuen SIEM-Funktionalität von Elastic sind wir besser in der Lage, die Sicherheitssichtbarkeit zu optimieren und auf dem Elastic Stack skalierbare Sicherheits- und Datenkomplettlösungen für unsere Kunden zu entwickeln“, so Greg Baker, Vice President und General Manager, Cyber Digital bei Optiv, einem Integrator für Sicherheitslösungen und von Elastic empfohlenen Partner. „Wir freuen uns darauf, gemeinsam die Nachfrage der Kunden nach dieser Funktionalität befriedigen zu können und unsere langjährige Partnerschaft mit Elastic weiter fortzusetzen.“
Dies ist ein wichtiger Meilenstein auf unserer Reise und wir arbeiten mit vollem Elan daran, das Vorhandene weiter auszubauen. Funktionen wie SIEM-Erkennungsregeln, Nutzeranalyse, Threat-Intelligence-Integration und der Ausbau der Datenquellen stehen bereits auf dem Reiseplan und werden nach und nach abgearbeitet werden. Und wir werden auch in Zukunft weiter auf dem Elastic-Weg voranschreiten und das herkömmliche SIEM-Konzept neu definieren, um Sie beim Schutz Ihrer Daten, Anwendungen und Netzwerkinfrastrukturen zu unterstützen. 
<h2>Jetzt loslegen</h2>Wenn Sie loslegen möchten, richten Sie auf <a href="/de/cloud/elasticsearch-service">Elasticsearch Service</a> einen Cluster ein oder <a href="/de/downloads">installieren Sie die neueste Version</a> des Elastic Stack. Sie haben bereits ECS-Daten in Elasticsearch? Upgraden Sie Ihre Cluster einfach auf 7.2 und probieren Sie Elastic SIEM aus.
Damit Sie sich schnell in die neuen Features hineinfinden, haben wir ein paar Ressourcen für Sie bereitgestellt:
<ul>
	<li><a href="/de/solutions/siem">Seite zu Elastic SIEM-Lösungen</a></li>
	<li><a href="/guide/en/siem/guide/current/index.html">Elastic SIEM-Dokumentation</a></li>
	<li><a href="/de/webinars/introducing-elastic-siem ">Registrieren Sie sich für unser Webinar</a></li>
</ul>

siem-blog-banner.png

siem-blog-thumb.png

Introducing Elastic SIEM

Neu im Programm: Elastic SIEM

Mit signaturbasiertem HIDS von Wazuh und Elastic Machine Learning können Sie Cyberbedrohungen besser erkennen und effizienter untersuchen.

<html><head></head><body>Der <a href="/de/products">Elastic Stack</a> enth&#xE4;lt Security-Analytics-Funktionen, die regelm&#xE4;&#xDF;ig zur Erkennung, Analyse und Abwehr von Bedrohungen und Vorf&#xE4;llen eingesetzt werden. Dank der Geschwindigkeit, mit der Elasticsearch sicherheitsrelevante Informationen indexiert und durchsucht, k&#xF6;nnen Sicherheitsanalysten effizienter arbeiten, und Kibana-Dashboards liefern Transparenz und erm&#xF6;glichen eine interaktive Jagd nach Bedrohungen. Mit der <a href="/de/products/stack/machine-learning">Machine Learning</a> Engine k&#xF6;nnen Sie au&#xDF;erdem die Analyse komplexer Datens&#xE4;tze automatisieren, um Eindringlinge zu entdecken, die andernfalls unbemerkt geblieben w&#xE4;ren.
Beliebte Intrusion Detection Systems (IDS) wie etwa <a href="https://wazuh.com/">Wazuh</a> oder Suricata verwenden einen signaturbasierten Ansatz f&#xFC;r die Bedrohungserkennung. Sie vergleichen also Muster in Dateien, in Protokollen und im Netzwerkverkehr mit einer Datenbank von Mustern, die bekannterweise im Zusammenhang mit b&#xF6;sartigen Aktivit&#xE4;ten stehen, und geben bei einer &#xDC;bereinstimmung eine Warnung aus. Diese L&#xF6;sungen liefern hilfreiche Regels&#xE4;tze zum Analysieren und Korrelieren von Daten, generieren jedoch in einer Produktionsumgebung normalerweise Tausende oder Millionen von Warnungen pro Tag.
Ein m&#xF6;glichst grobes Netz sorgt daf&#xFC;r, dass alle potenziellen Sicherheitsereignisse gefunden werden, f&#xFC;hrt jedoch auch zu mehr Arbeit, da jeden Tag Tausende (oder Millionen) von Warnungen gesichtet werden m&#xFC;ssen. Mit den Elastic Machine Learning-Funktionen k&#xF6;nnen Sie ungew&#xF6;hnliche Verhaltensweisen automatisch erkennen, um das Hintergrundrauschen zu reduzieren. Hier haben wir einen Anwendungsfall, bei dem anomalie- und signaturbasierte Technologien einander klar erg&#xE4;nzen, um Bedrohungen besser erkennen und effizienter untersuchen zu k&#xF6;nnen.
<a href="https://github.com/wazuh/wazuh">Wazuh</a> wird oft zusammen mit dem Elastic Stack bereitgestellt und ist ein Open Source Host-Based Intrusion Detection System (HIDS). Mit dieser L&#xF6;sung erhalten Sie Log-Analysen, &#xDC;berwachung der Dateiintegrit&#xE4;t, Erkennung von Rootkits und Sicherheitsl&#xFC;cken sowie Konfigurationsbewertungen und k&#xF6;nnen besser auf Vorf&#xE4;lle reagieren. Die Wazuh-L&#xF6;sungsarchitektur verwendet plattform&#xFC;bergreifende Lightweight-Agents, die auf &#xFC;berwachten Systemen ausgef&#xFC;hrt werden und Daten zur Analyse an einen zentralisierten Server &#xFC;bermitteln. Au&#xDF;erdem erhalten Sie ein vollst&#xE4;ndiges Kibana-Plugin f&#xFC;r die Bereiche Konfigurationsverwaltung, Status&#xFC;berwachung und Visualisierung von Abfrage- und Warnungsdaten.
<a href="https://suricata-ids.org/">Suricata</a> hingegen ist ein kostenloses Open-Source-Modul zur Erkennung von Netzwerkbedrohungen und deckt die Bereiche Echtzeit-Einbruchserkennung im Netzwerk (NIDS), Inline-Einbruchsverhinderung (NIPS), &#xDC;berwachung der Netzwerksicherheit (NSM) und Offline-PCAP-Verarbeitung ab. Suricata analysiert den Netzwerkverkehr mit einer Regel- und Signatursprache, erkennt bekannte Bedrohungen, Richtlinienverletzungen und b&#xF6;sartige Verhaltensweisen und unterst&#xFC;tzt Skripts zur Erkennung komplexer Bedrohungen.
In diesem Blogpost erfahren Sie, wie Sie mit einer Integration von Wazuh und Suricata in Kombination mit Elastic Machine Learning-Jobs Eindringlinge entdecken und Ihre Untersuchungen priorisieren k&#xF6;nnen.
<h2>Integration von Wazuh, Suricata und dem Elastic Stack</h2>F&#xFC;r diesen Blogpost haben wir eine Laborumgebung eingerichtet und Wazuh-Agents auf mehreren mit dem Internet verbundenen Servern bereitgestellt, um System- und Anwendungsprotokolle, Dateiintegrit&#xE4;t und Systemaufrufe zu &#xFC;berwachen.
Au&#xDF;erdem verwenden wir einen Suricata-Sensor zur &#xDC;berwachung des Netzwerkverkehrs. Dieser Sensor wird oft &#xFC;ber einen Netzwerkzugriff, einen Spiegelungs-Port oder einen SPAN-Port (Switched Port Analyzer) installiert, kann jedoch auch direkt auf Ihren Servern bereitgestellt werden.
Um diese beiden Tools optimal zu nutzen, verwenden wir Wazuh-Regeln, um die Suricata-Warnungen zu analysieren, das Warnungsformat zu vereinheitlichen, Daten zu korrelieren (z.&#xA0;B. mit Quellen f&#xFC;r Bedrohungsdaten) und automatische Reaktionen auszul&#xF6;sen.
F&#xFC;r diese Integration haben wir einen Wazuh-Agent f&#xFC;r das Auslesen der JSON-Ausgabe von Suricata konfiguriert. Dieser Agent sammelt die NIDS-Warnungen von Suricata und leitet sie an den Wazuh-Server weiter, wo sie mit den Wazuh-Protokollanalyseregeln verarbeitet werden, um neue und angereicherte Sicherheitsereignisse zu generieren.
Im Anschluss daran werden sowohl NIDS- als auch HIDS-Warnungen per Filebeat (liest Wazuh-Warnungen) und Logstash (auch f&#xFC;r Geo-Anreicherung verwendet) an Elasticsearch &#xFC;bermittelt und dort mit Machine Learning-Jobs verarbeitet, um Anomalien und ungew&#xF6;hnliche Verhaltensweise zu erkennen.
Hier sehen Sie ein Beispiel f&#xFC;r eine Bereitstellung mit host- und netzwerkbasierten IDS-Technologien und die Integration mit Elastic Stack:
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt69bd38c77bdaac5e/5c583b764651cff70b650fc7/wazuh.png" data-sys-asset-uid="blt69bd38c77bdaac5e" alt="Security Analytics mit Elastic Stack und Wazuh" style="display: block; margin: auto;"><h2>Erkennen von Angreifern mit Machine Learning-Jobs</h2>In unserer Laborumgebung haben wir s&#xE4;mtliche Regeln aktiviert und herausgefunden, dass unser Wazuh-Agent lediglich f&#xFC;r einen der mit dem Internet verbundenen Server zwischen 4.000 und 10.000 IDS-Warnungen pro Tag ausgibt. Dabei handelt es sich haupts&#xE4;chlich um Web-Angriffe, Authentifizierungsfehler, Konfigurationsprobleme (erkannt mit H&#xE4;rtungspr&#xFC;fungen), &#xC4;nderungen an der Dateiintegrit&#xE4;t oder anf&#xE4;llige Software.
Um Sicherheitsanalysten das Leben zu erleichtern, werden Wazuh IDS-Warnungen mit Metadaten wie etwa <a href="https://documentation.wazuh.com/3.x/user-manual/manager/alert-threshold.html">Schweregrad</a> oder <a href="https://documentation.wazuh.com/3.x/user-manual/agents/grouping-agents.html">Gruppe</a> angereichert, um sie nach Priorit&#xE4;t oder Typ filtern zu k&#xF6;nnen. Au&#xDF;erdem erhalten Sie mit dem Wazuh Kibana-Plugin vorkonfigurierte Dashboards mit hilfreichen Informationen zu Agentenstatus, Konfiguration und Warnungen. Beachten Sie den folgenden Screenshot:
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltaeded6e5f42e8008/5c583b6f713ebdec0ba0724b/wazuh_1.jpg" data-sys-asset-uid="bltaeded6e5f42e8008" alt="" style="display: block; margin: auto;">Die von Wazuh gelieferten Informationen sind zwar praktisch, helfen uns aber immer noch nicht dabei, ungew&#xF6;hnliche Verhaltensweisen zu erkennen. Dazu ben&#xF6;tigen wir einen Elastic Machine Learning-Job.
Mit Elastic Machine Learning k&#xF6;nnen wir mehrere Arten von Jobs erstellen. Ein Job ist ein grundlegendes Element bei der Machine Learning-Analyse. In unserem Fall erstellen wir eine sogenannte Populationsanalyse, bei der wir die Machine Learning-Engine anweisen, ein Baseline-Modell f&#xFC;r das typische Verhalten von IP-Adressen &#xFC;ber einen Zeitraum zu erstellen. Anschlie&#xDF;end k&#xF6;nnen wir diejenigen Adressen identifizieren, die sich im Vergleich zum Rest der Population abnormal verhalten.
Genauer gesagt m&#xF6;chten wir diejenigen IP-Adressen finden, f&#xFC;r die im Vergleich zu allen anderen IP-Adressen eine ungew&#xF6;hnlich hohe Anzahl an Warnungstypen ausgel&#xF6;st wird. Dazu reichen einfache Aggregationstabellen nicht aus, da die Anomalien zu einem Zeitpunkt aufgetreten sind, den unser Sicherheitsanalyst nicht kennt, und wir Warnungsdaten f&#xFC;r mehr als 60 Tage verarbeiten (wir haben Angriffe erkannt, die nicht l&#xE4;nger als zwei Minuten gedauert haben).
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt5f3853bf1907d6b8/5c583b698c741b010cbf6cf2/wazuh_2.png" data-sys-asset-uid="blt5f3853bf1907d6b8" alt="" style="display: block; margin: auto;">Bei unserer Populationsanalyse finden wir verschiedene abnormale Verhaltensweisen (in Form einer Liste von IP-Quelladressen), die wir anschlie&#xDF;end untersuchen. Mit dem &#x201E;Anomaly Explorer&#x201C; k&#xF6;nnen wir herausfinden, wann diese potenziellen b&#xF6;sartigen Akteure unsere Umgebung angegriffen haben.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltc441190af1573bef/5c583b644651cff70b650fc1/wazuh_3.png" data-sys-asset-uid="bltc441190af1573bef" alt="" style="display: block; margin: auto;"><h2>Untersuchung eines Einbruchsversuchs</h2>Als Beispiel f&#xFC;r eine Sicherheitsanalyse behandeln wir die Untersuchung einer der IP-Adressen, die unser Machine Learning-Job identifiziert hat. Diese IP-Adresse hat in weniger als einer Minute mehrere NIDS- und HIDS-Warnungen ausgel&#xF6;st, woraufhin Wazuh die IP-Adresse in der lokalen Firewall auf unserem Webserver automatisch blockiert hat.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt9943893542e7e7f3/5c583b5edfaabbd40b9c2c0c/wazuh_4.jpg" data-sys-asset-uid="blt9943893542e7e7f3" alt="" style="display: block; margin: auto;">Wie Sie im obigen Screenshot sehen, hat Suricata NIDS b&#xF6;sartigen Datenverkehr von der angegebenen IP-Quelladresse erkannt. Die Regeln f&#xFC;r den eingehenden Datenverkehr generieren die folgenden Warnungen:
<ul>
	<li>ET DROP Dshield Block Listed Source group 1</li>
	<li>ET CINS Active Threat Intelligence Poor Reputation IP group 77</li>
	<li>SURICATA HTTP URI terminated by non-compliant character</li>
	<li>SURICATA HTTP METHOD terminated by non-compliant character</li>
</ul>Die ersten beiden Regeln geh&#xF6;ren zur Regelgruppe f&#xFC;r <a href="http://doc.emergingthreats.net/">aufkommende Bedrohungen</a> und deuten auf eine zweifelhafte Reputation der IP-Quelladresse laut unserer Threat Intelligence (TI)-Quellen hin: <a href="https://www.dshield.org/">Dshield</a> und <a href="https://sentinelips.com/cins/">Active Threat Intelligence</a>.
Au&#xDF;erdem haben zwei weitere Signaturen abnormale HTTP-Aktivit&#xE4;ten von derselben IP-Quelladresse erkannt. Vermutlich haben die Angreifer Scans durchgef&#xFC;hrt, um Informationen &#xFC;ber potenzielle Sicherheitsl&#xFC;cken zu sammeln.
Die Wazuh HIDS-Komponente hat au&#xDF;erdem verschiedene Warnungen bei der Analyse der Zugriffsprotokolle des Webservers ausgel&#xF6;st. Dieser Ansatz unterscheidet sich grundlegend von der Netzwerkpaketinspektion und hat die folgenden Warnungen ergeben:
<ul>
	<li>IP address found in AlienVault reputation database</li>
	<li>Host Blocked by firewall-drop.sh Active Response</li>
	<li>Host Unblocked by firewall-drop.sh Active Response</li>
</ul>Die erste Warnung deutet darauf hin, dass die IP-Quelladresse au&#xDF;erdem in einer weiteren Threat Intelligence (TI)-Quelle bekannt ist: Die IP-Reputationsdatenbank <a href="https://otx.alienvault.com/">AlienVault OTX</a>.
Die restlichen Warnungen wurden vom Wazuh Active Response-Modul generiert, das aufgrund der zuvor erw&#xE4;hnten Warnungen automatisch eine Firewall-Regel hinzugef&#xFC;gt hat, um den Datenverkehr von dieser IP-Quelladresse f&#xFC;r exakt 60 Sekunden zu blockieren (dieser Zeitraum ist konfigurierbar). Diese Aktion war ausreichend, um die Scan-Aktivit&#xE4;ten zu blockieren, und der Angreifer hat seinen Einbruchsversuch abgebrochen.
<h2>Fazit</h2>Es ist sinnvoll, sowohl signatur- als auch anomaliebasierte Erkennungsmechanismen mit Technologien wie Wazuh, Suricata und Elastic Machine Learning einzusetzen, um Bedrohungen leichter erkennen und effizienter untersuchen zu k&#xF6;nnen.
Au&#xDF;erdem k&#xF6;nnen Sie die Erkennung von Bedrohungen verbessern und mehr Einblicke in Ihre Sicherheit erhalten, indem Sie hostbasierte IDS (&#xDC;berwachung von Systemen auf Hostebene) mit netzwerkbasierten IDS (Analyse des Netzwerkverkehrs) integrieren. Wazuh unterst&#xFC;tzt Sie dabei, host- und netzwerkbasierte IDS mit dem Elastic Stack zu integrieren, und liefert Mechanismen f&#xFC;r automatische Reaktionen und die Abwehr von Angriffen in Echtzeit.
 </body></html>

ML_IDS_2000x415a.jpg

Blog.jpg

Improve Security Analytics with the Elastic Stack, Wazuh, and IDS

Bessere Security Analytics mit Elastic Stack, Wazuh und IDS

Ein Überblick, was Machine Learning leisten kann, um Anomalien in Elasticsearch gespeicherten Log-Daten zu erkennen, die bei Cyber-Bedrohungen auftreten.

<h2>Einleitung</h2>Im <a href="https://www.elastic.co/blog/integrating-elasticsearch-with-arcsight-siem-part-4">letzten Beitrag</a> unserer mehrteiligen Serie über die Integration von Elasticsearch mit ArcSight SIEM, als wir die Alerting-Funktionen von X-Pack zur Erkennung erfolgreicher Brute-Force-Login-Angriffe eingesetzt haben, haben wir bereits auf die bevorstehende Veröffentlichung unserer Machine Learning Funktionen in X-Pack hingewiesen.
Und nun ist es so weit: <a href="https://www.elastic.co/blog/introducing-machine-learning-for-the-elastic-stack">X-Pack Machine Learning</a> ist da. Wir möchten an dieser Stelle Schritt für Schritt erklären, was es bedeutet, Machine Learning zur Erkennung von Anomalien in Log-Daten von Elasticsearch einzusetzen, die mit typischen Cyberbedrohungen einhergehen.
<h2>Simple Mathematik, kein Magie</h2>Bevor wir loslegen, beschäftigen wir uns erst einmal mit dem Hintergrund. Wenn die Sprache auf das Thema Sicherheit kommt, kursiert häufig die falsche Annahme, dass es sich bei Machine Learning einfach um eine magische Kiste voll mit Algorithmen handelt, die man auf seine Daten loslässt, damit sie nützliche Informationen&nbsp;ausgeben. Aber so funktioniert es nicht.
Man sollte Machine Learning auf dem Gebiet der Cybersicherheit eher als&nbsp;„Algorithmus-Assistenten“ betrachten, die dem Sicherheitsteam helfen, die Analyse sicherheitsrelevanter Log-Daten zu automatisieren, indem potenziell gefährliche Anomalien und Muster untersucht werden – und zwar immer unter der Leitung menschlicher Sicherheitsexperten.
<h2>Überwachung von Bedrohungen? Oder doch eher Jagd auf Bedrohungen? Die Rolle von Machine Learning.</h2>X-Pack Machine Learning kann für die interaktive Untersuchung von Anomalien in Zusammenhang mit Bedrohungen eingesetzt werden. Häufig werden Swimlane-Visualisierungen von Anomalien in Kibana als Ausgangspunkt für die Untersuchung von Bedrohungen eingesetzt. Aber detaillierte Informationen über die aufgedeckten Anomalien zeigen dem Sicherheitsanalysten erst konkret, „warum“ das erkannte Verhalten auffällig war und als Anomalie eingestuft wurde, wie ungewöhnlich die Anomalie war, warum die Bedrohung zu einem elementaren Angriffsverhaltensmuster passt und welche Datenentitäten das Angriffsverhalten beeinflusst haben.
Da X-Pack Machine Learning fest in den Elastic Stack integriert ist, lassen sich die Benachrichtigungsmethoden, die wir in unseren Beiträgen zur Integration von Elasticsearch mit ArcSight SIEM <a href="https://www.elastic.co/blog/integrating-elasticsearch-with-arcsight-siem-part-2">Teil 2</a> und <a href="https://www.elastic.co/blog/integrating-elasticsearch-with-arcsight-siem-part-4">Teil 4</a> bereits thematisiert haben, nun auch auf eine neue Quelle für interessante Einblicke anwenden: den Index der Machine Learning Ergebnisse, der „ml-anomalies-*“ heißt. So können Ergebnisse, die durch diese Algorithmus-Assistenten ausgegeben wurden, dazu eingesetzt werden, Benachrichtigungen für die weitere Bedrohungsüberwachung auszulösen.
<img src="https://api.contentstack.io/v2/uploads/591bdd4cedbaf9c63a5b1242/download?uid=bltec40d9f2c7977114" data-sys-asset-uid="bltec40d9f2c7977114" alt="image1.png">Abb. 1: X-Pack Machine Learning ist im Elastic Stack integriert
<h2>Anleitungen für die Erkennung von Bedrohungen mittels Machine Learning</h2>Die auf Schwellenwerten basierende Benachrichtigung über Ereignisse erfüllt zweifellos ihren Zweck (z. B. bei der Auslösung einer Benachrichtigung, wenn es vor einem erfolgreichen Login mehrere nicht erfolgreiche Login-Versuche gab). Doch die automatisierte Erkennung auffälliger Verhaltensweisen, ohne dass spezifische Datenbedingungen bestimmt werden müssen, erleichtert die Arbeit von Sicherheitsanalysten um ein Vielfaches.
Da wir es, wie oben schon erwähnt, mit Mathematik und nicht mit Zauberei zu tun haben, musst du zuerst die Machine Learning Engine starten, indem du die entsprechenden Einstellungen in der Job-Konfiguration vornimmst. Da die Engine jede Art von Daten über längere Zeiträume modellieren kann – ganz egal, ob numerisch oder kategorisch – ist die Anzahl der konfigurierbaren Arten von Machine-Learning-Jobs unbegrenzt. Das ist zwar gut für alle, die gerne flexibel sind, kann aber für einen Sicherheitsanalysten, der einfach nur Bedrohungen finden möchte, ein bisschen zu viel werden.
Aus diesem Grund stellen wir dir hier beispielhaft eine Anleitung für die Konfiguration eines Machine Learning Jobs für Anwendungsfälle im Sicherheitsbereich vor. Diese Anleitungen erklären, wie du Machine Learning Jobs konfigurieren musst, um mithilfe automatisierter Anomalie-Erkennung elementare Angriffsverhaltensmuster zu erkennen, die sich anderweitig nur schwer entdecken lassen. Zu solchen elementaren Angriffsverhaltensmustern gehören Aktivitäten wie DNS-Tunneling, Web-Daten-Exfiltration, die Ausführung verdächtiger Prozesse am Endpunkt und mehr.
<img src="https://api.contentstack.io/v2/uploads/591c5aefd7764366397ea97d/download?uid=bltb250291321c7d463" data-sys-asset-uid="bltb250291321c7d463" alt="recipes.png">
Abb. 2: Beispielhafte Anleitung für eine Machine Learning Konfiguration für einen Anwendungsfall im Sicherheitsbereich 
Jede Anleitung befindet sich in einem kurzen Dokument, das aus verschiedenen Abschnitten besteht: theoretische Durchführung, eine Beschreibung und konkrete Schritte zur Modellierung und Beobachtung von Ergebnissen. Die konkreten Schritte umfassen eine Auswahl von Eigenschaften, einen Modellierungsansatz, das Ziel (was soll erkannt werden), einen Vergleichsdatensatz, Influencer-Elemente, den Analysezeitraum und die Interpretation der Ergebnisse.
Wir haben mit der Einführung von Version 5.4 vier Machine Learning Konfigurationen für Anwendungsfälle aus dem Sicherheitsbereich zusammengestellt. Diese sind ab sofort in diesem <a href="https://github.com/elastic/examples/tree/master/Machine%20Learning/Security%20Analytics%20Recipes">GitHub-Repository</a> verfügbar und jedes Beispiel enthält eine Anleitung für einen Sicherheitsanwendungsfall und diverse Konfigurationen, Daten und Skripte, die dir helfen, alles auszuprobieren.
<h2>Eine Machine Learning Anleitung zur Erkennung von DNS-Tunneling</h2>Als Beispiel für solch eine Anleitung schauen wir uns an, wie Machine Learning zur Erkennung von DNS-Tunneling-Aktivitäten eingesetzt werden kann.
Eine kurze Erklärung zu den Hintergründen: DNS-Tunneling bezieht sich auf eine Aktivität, bei der versucht wird, das Domain Name Service (DNS) Protokoll zu benutzen, um Nicht-DNS-Informationen in das bzw. aus dem Netzwerk einer Organisation zu transferieren. Da das DNS-Netzwerk von allen mit dem Internet verbundenen IT-Infrastrukturen genutzt wird, wird dieser Traffic in der Regel nicht durch Firewalls geblockt und ist deshalb ein attraktives Ziel, um unautorisierte und/oder schädliche Informationen zu versenden, die den „Tunnel“ der vorhandenen Sicherheitssysteme eines Unternehmens nutzen. Die <a href="https://blog.gdatasoftware.com/2014/10/23942-new-frameworkpos-variant-exfiltrates-data-via-dns-requests">FrameworkPOS-Malware</a> nutzt diese Technik beispielsweise, um gestohlene Kartendaten aus Verkaufsterminals zu exfiltrieren.
Schauen wir uns nun die detaillierte Anleitung für eine Machine Learning Konfiguration für einen Anwendungsfall im Sicherheitsbereich an, die in Elastic-Sicherheitskreisen unter dem Namen DNS-EAB02 bekannt ist. „DNS“ weist darauf hin, dass die in dieser Anleitung analysierten Logs vom „DNS“-Protokoll stammen. „EAB“ weist darauf hin, dass diese Anleitung elementare Angriffsverhaltensmuster erkennt. „02“ ist eine eindeutige Kennung, um diese Anleitung von anderen DNS-Anleitungen zu unterscheiden. Die Anleitung besteht aus mehreren Abschnitten:
Theorie: Eine ungewöhnliche Entropie (hier als „Informationsmenge“ bezeichnet) im Subdomain-Feld der DNS-Query-Anfragen kann ein Hinweis auf die Exfiltration von Daten über das DNS-Protokoll sein.
Bitte beachte, dass es viele Möglichkeiten gibt, um die Exfiltration von DNS-Daten zu erkennen. In diesem Job wird ein spezielles Verfahren verwendet, das sich in realen Enterprise-Umgebungen als effektiv erwiesen hat. Falls dein Sicherheitsteam eine andere oder eine zusätzliche Methode bevorzugt, kannst du diesen Job ganz einfach klonen, ihn entsprechend anpassen und durchführen! Oder du führst beide Jobs durch, um Ergebnisse zu vergleichen oder sogar zu kombinieren.
Beschreibung: Diese Anleitung für einen Anwendungsfall erkennt Domains, an die DNS-Query-Anfragen gesendet werden, die ungewöhnlich hohe Mengen an „Informationsinhalten“ enthalten, und IP-Adressen, die diese auffälligen Anfragen generieren.
Es ist nicht unbedingt auf den ersten Blick offensichtlich, dass die Erkennung von Domains, an die Anfragen mit einer ungewöhnlich hohen Informationsmenge im Subdomain-Bereich des Felds gesendet werden, überhaupt hilfreich ist. Aber betrachtet man das Ganze aus der Perspektive der Datenmodellierung, müssen wir die Funktion finden, die im Laufe der Analyse am ehesten ungewöhnliche Merkmale aufweist. Für diese Analyse ist das Domain-Feld im DNS-Query-Log die Eigenschaft, die wir modellieren möchten. Das Merkmal ist die Menge an Informationsinhalten im Subdomain-Feld dieser DNS-Anfragen.
Effektivität: Diese Anleitung für einen Anwendungsfall dient als grundlegendes Beispiel, wie die automatische Erkennung von Anomalien eingesetzt werden kann, um die Exfiltration von DNS-Daten zu erkennen. Andere Anleitungen, die alternative oder komplexere Ansätze nutzen, können bei der Erkennung zu effektiveren Ergebnissen führen.
Bitte denk daran, dass diese Anleitung lediglich ein Beispiel ist. Sprich mit deinem Team, damit ihr gemeinsam Wege findet, um noch effektivere Ergebnisse zu erzielen.
Art des Anwendungsfalls: Elementares Angriffsverhalten (EAB für „Elementary Attack Behavior“). Dieser Anwendungsfall erkennt Anomalien in Zusammenhang mit elementaren Angriffsverhaltensmustern. Jeder erkannten Anomalie wird ein standardisierter Anomalie-Score zugewiesen, der außerdem Werte anderer Felder in den Daten enthält, die sich statistisch auf die Anomalie auswirken können. Elementare Angriffsverhaltensmuster mit gemeinsamen statistischen Influencern hängen häufig mit einem gemeinsamen Angriffsprozess zusammen.
Ein wenig Hintergrund dazu: Mit dieser Anleitung führst du keine Metaanalyse von Risikofaktoren durch, sondern sie dient eher dazu, elementare Angriffsverhaltensmuster zu erkennen, die mit anderen Angriffen korrelieren können. Für diese Erkennung von Cyberangriffen wird X-Pack Alerting verwendet.
Datenquelle für diesen Anwendungsfall: DNS-Query-Logs (vom Client zum DNS-Server)
Welche Daten brauchen wir für diese Anleitung?
Anleitung für einen konkreten Anwendungsfall
Für: DNS-Query-Anfragen (gefiltert nach den Typen: A, AAAA, TXT)
Modell: Informationsinhalte innerhalb des Subdomain-Strings
Erkennt: Ungewöhnlich hohe Informationsmengen
Vergleich: Gruppe aller (auf höchster Ebene registrierten) Domains in Query-Ergebnissen
Partitionierung: Keine
Ausschluss: Domains, die häufig in der Analyse auftreten
Dauer: Analyse von DNS-Anfragen für einen Zeitraum von mindestens 2 Wochen oder länger
Zugehörige Anleitungen: Durchführung dieses EAB-Anwendungsfalls für sich allein oder gemeinsam mit DNS-EAB01 DNS DGA-Aktivität
Ergebnisse: Influencer-Hosts sind wahrscheinlich die Ursache für DNS-Tunneling-Aktivitäten
Wir möchten gerne erklären, weshalb wir diese Anleitung in Form von Klartext erstellt haben. Dieser Abschnitt bestimmt, aus welchen Log-Mitteilungen wir Daten herausziehen, welche Datenmerkmale wir modellieren, welche ungewöhnlichen Verhaltensmuster wir versuchen zu entdecken, was wir dazu in den Vergleich setzen möchten, ob wir die Analyse partitionieren möchten oder nicht, ob wir häufige Werte, die die Ergebnisse dominieren können, ausschließen möchten oder nicht, wie viele Daten benötigt werden, um aussagekräftige Ergebnisse zu erzielen, welche anderen Jobs zu diesem Job passen und zu guter Letzt, wie man die Ergebnisse der Analyse findet und interpretiert.
Zusätzliche Konfigurationsparameter:
Diese Abschnitte (Beispiel für Elasticsearch Index-Patterns, Beispiel für Elasticsearch Query und Machine Learning Analyse/Detektorkonfiguration) liefern dir die notwendigen Konfigurationsdetails, damit sichergestellt ist, dass der Machine Learning Job so funktioniert wie von uns beabsichtigt. Diese Details entsprechen genau den Einstellungen in der Ansicht für die Job-Konfiguration.
Sobald ein Machine Learning Job mit dieser Anleitung konfiguriert und gestartet wurde, beginnen Machine Learning mit der Indizierung und der Analyse von DNS-Anfrage-Logs, die über Client-Workstations eingehen. Dabei werden Basiswerte normalen Verhaltens für DNS-Anfragen von jedem Client erstellt, sodass erkennbar ist, wann auffällige Aktivitäten auftreten.
Wie oben bereits erwähnt, werden Anomalien in einem Elasticsearch-Index mit dem Standardnamen „ml-anomalies-*“ gespeichert, wo sie durchsucht und in Kibana-Dashboards angezeigt werden können. Sie lassen sich im Detail mithilfe des X-Pack Machine Learning Plugins untersuchen, oder verwenden, um mit X-Pack Alerting eine Benachrichtigung zu generieren.
Wir haben ein paar kurze Videos vorbereitet, die dir Machine Learning in Aktion zeigen. Hier siehst du erst einmal ein Beispiel der Ansicht des X-Pack Machine Learning Anomaly Explorers in Version 5.4 (Beta) für Ergebnisse aus einem DNS-Tunneling-Job.
<img src="https://api.contentstack.io/v2/uploads/591bddbc0529160141e36573/download?uid=blt21347fb80005d873" data-sys-asset-uid="blt21347fb80005d873" alt="image3.png">
<h2>Fazit</h2>X-Pack Machine Learning macht maschinelles Lernen für Sicherheitsanalysten und Entwickler zugänglich, die mit sicherheitsrelevanten Log-Daten in Eleasticsearch arbeiten. Der Job zur Erkennung von Anomalien bildet das Grundelement für X-Pack Machine Learning. Die Anleitungen für Anwendungsfälle aus dem Bereich Sicherheits-Analyse beschreiben, wie man Jobs konfiguriert, um Angriffsverhaltensmuster zu erkennen. Ohne irgendetwas programmieren zu müssen, kannst du so Algorithmus-Assistenten nutzen, um Bedrohungen zu erkennen und die Sicherheit insgesamt zu optimieren.
<h2>Hier erfährst du mehr</h2><ul>
	<li>Schau dir unsere Videos aus dem Machine Learning Lab an: <a href="https://www.elastic.co/videos/machine-learning-tutorial-creating-a-single-metric-job">Video 1</a>, <a href="https://www.elastic.co/videos/machine-learning-tutorial-creating-a-multi-metric-job">Video 2</a>, und <a href="https://www.elastic.co/videos/machine-learning-lab-3-detect-outliers-in-a-population">Video 3</a>.</li>
	<li>Weitere <a href="https://github.com/elastic/examples/tree/master/Machine%20Learning/Security%20Analytics%20Recipes">Beispiele</a> für Machine Learning Anleitungen, um Angriffsverhaltensmuster zu erkennen.
</li>
	<li>Lade dir eine kostenlose Testversion von <a href="https://www.elastic.co/downloads/x-pack">X-Pack herunter und probiere es aus</a>.</li>
	<li>Nimm am <a href="https://www.elastic.co/webinars/automated-anomaly-detection-with-machine-learning">Webinar</a> teil, um dir die ganze Produkttour anzusehen.</li>
</ul>

blog-machine-learning-5-4-release.png

Using Machine Learning and Elasticsearch for Security Analytics: A Deep Dive

Machine Learning und Elasticsearch für Security-Analytics: Ein detaillierter Einblick

Aktuelle Angriffe fordern Lösegeld für Daten. Vergewissere dich, dass dein Elasticsearch-Cluster kein Opfer wird.

<table style="background: #FFFFD2;">
<tbody>
<tr>
<td>Wichtiger Hinweis für Nutzer des Elastic Stack ab Version 6.8/7.1 Die Standarddistribution des Elastic Stack enthält jetzt Sicherheits-Features, die Sie dauerhaft kostenlos nutzen können. Dazu gehören TLS-Verschlüsselung, Nutzerauthentifizierung und rollenbasierte Zugriffssteuerung. Informationen zur Implementierung finden Sie unter „<a href="https://www.elastic.co/de/blog/getting-started-with-elasticsearch-security">Erste Schritte mit Elasticsearch Security</a>“.
</td>
</tr>
</tbody>
</table>Letzte Woche gab es einen <a href="http://arstechnica.co.uk/security/2017/01/more-than-10000-online-databases-taken-hostage-by-ransomware-attackers/">bösartigen Angriff</a>, bei dem Daten aus tausenden Open-Source-Datenbanken kopiert, gelöscht und gegen Lösegeld angeboten wurden. Obwohl bei diesen Angriffen keine Malware oder „Ransomware“ eingesetzt wurde und sie nichts mit Schwachstellen in den Produkt selbst zu tun haben, stellen sie ein ernstes Sicherheitsproblem dar, da Datenverlust oder die Verletzung der Datensicherheit drohen. Die gute Nachricht ist, dass man sich ganz einfach mit der richtigen Konfiguration vor dem Verlust von Daten durch Angriffe solcher Art schützen kann.
Wir nehmen diesen Vorfall daher zum Anlass, um noch einmal daran zu erinnern, wie wichtig es ist, alle Elasticsearch-Instanzen zu sichern – vor allem diejenigen, die über das Internet zugänglich sind.&nbsp;
 
Kunden, die die&nbsp;<a href="https://www.elastic.co/cloud">Elastic Cloud</a>&nbsp;nutzen, können sicher sein, dass ihre Cluster mit&nbsp;<a href="https://www.elastic.co/products/x-pack/security">X-Pack Security</a>&nbsp;über zufällig generierte, individuelle Passwörter geschützt sind. Sie befinden sich hinter redundanten Firewalls und Proxys in der vom Kunden ausgewählten AWS-Region. Verschlüsselte TLS-Kommunikation aus dem Internet wird in der Standardkonfiguration bereitgestellt. Außerdem stellt Elastic zwei Tage lang Backups der Cluster-Daten zur Verfügung.
Für alle anderen Cluster haben wir bereits explizit darauf hingewiesen, dass ungesicherte Elasticsearch-Instanzen nicht direkt im Internet erreichbar sein sollten (z. B. in unserem&nbsp;<a href="https://www.elastic.co/blog/found-elasticsearch-security">Blog-Beitrag aus dem Jahr 2013</a>).&nbsp;Wir haben das ebenfalls in die Praxis umgesetzt, indem unsere Standardinstallation nur auf Localhost erreichbar ist. Dennoch haben wir festgestellt, dass es immer mehr ungesicherte, über das Internet zugängliche Instanzen gibt.
Wenn du eine ungesicherte, im Internet erreichbare Instanz von Elasticsearch verwendest, empfehlen wir dringend die folgenden Schritte, um deine Daten zu schützen:
<ul>
	<li dir="ltr">Erstelle <a href="https://www.elastic.co/guide/en/elasticsearch/guide/2.x/backing-up-your-cluster.html">Backups von allen deinen Daten</a> an einem sicheren Ort und erwäge die Nutzung von <a href="https://www.elastic.co/guide/en/elasticsearch/client/curator/current/snapshot.html">Curator-Snapshots</a></li>
	<li dir="ltr">Konfiguriere deine Umgebung neu, damit Elasticsearch in einem isolierten, nicht routbaren Netzwerk läuft.</li>
	<li dir="ltr">Oder, falls dein Cluster über das Internet erreichbar sein muss, beschränke den Zugriff mit einer Firewall, einem VPN, einem Reverse Proxy oder einer anderen Technologie.</li>
</ul>Und grundsätzlich empfehlen wir immer folgende bewährte Vorgehensweisen:
<ul>
	<li dir="ltr"><a href="https://www.elastic.co/guide/en/elastic-stack/current/upgrading-elastic-stack.html">Nimm ein Upgrade</a>&nbsp;auf die neueste Version des Elastic Stack vor.</li>
	<li dir="ltr">Wenn du 2.x verwendest, solltest du deine&nbsp;<a href="https://www.elastic.co/blog/scripting-security">Scripting-</a>Einstellungen prüfen oder dir unser neues&nbsp;<a href="https://www.elastic.co/blog/painless-a-new-scripting-language">Painless</a>-Scripting in 5.x ansehen.</li>
	<li dir="ltr">Nutze TLS-Verschlüsselung, Authentifizierung, Autorisierung und IP-Filter, um deine <a href="https://www.elastic.co/webinars/x-pack-security-overview-roadmap-demo">Elasticsearch-Instanz</a> mit&nbsp;<a href="https://www.elastic.co/products/x-pack/security">X-Pack Security abzusichern</a>.</li>
</ul>

Protecting Against Attacks that Hold Your Data for Ransom

Schutz vor Erpressung durch Datendiebstahl

Erste Schritte

pattern-footer-cta-generic-bottom-left-172x90-blue-bg.svg

pattern-footer-cta-generic-bottom-right-145x250-blue-bg.svg

pattern-footer-cta-generic-top-left-145x250-blue-bg.svg

pattern-footer-cta-generic-top-right-172x90-blue-bg.svg

Generic - Blue - Color

Blog Footer CTA

Für den kostenlosen Test von Elastic Cloud registrieren

Blog Footer

headshot-mike-paquette-300x300.jpg

Director of Product, Security Market

Mike Paquette

Articles By

Register to Attend

Sign In to Attend

Register to Watch

You'll also receive an email with related content

Wir schicken Ihnen zudem relevante Informationen, die von Interesse sein könnten.

AUTHOR

Artikel von Mike Paquette

Elastic Security was recognized as a Customers’ Choice in 2021 Gartner Peer Insights ‘Voice of Customer’: SIEM Report

Neu im Programm: Elastic SIEM

Bessere Security Analytics mit Elastic Stack, Wazuh und IDS

Machine Learning und Elasticsearch für Security-Analytics: Ein detaillierter Einblick

Schutz vor Erpressung durch Datendiebstahl

Für den kostenlosen Test von Elastic Cloud registrieren

Produkte und Lösungen

Unternehmen

Ressourcen

Lösungen

Elastic (ELK) Stack

NEU

AUTHOR

Artikel von Mike Paquette

Elastic Security was recognized as a Customers’ Choice in 2021 Gartner Peer Insights ‘Voice of Customer’: SIEM Report

Neu im Programm: Elastic SIEM

Bessere Security Analytics mit Elastic Stack, Wazuh und IDS

Machine Learning und Elasticsearch für Security-Analytics: Ein detaillierter Einblick

Schutz vor Erpressung durch Datendiebstahl

Für den kostenlosen Test von Elastic Cloud registrieren