Elastic Security öffnet sein Erkennungsregel-Repository. Dort finden Sie künftig sowohl transparent von Elastic entwickelte als auch von der Community beigesteuerte Regeln. Das ist eine Chance, kollektives Security-Wissen mit der Welt zu teilen.

Wir bei Elastic glauben an das <a href="/de/about/why-open-source">Potenzial von Open Source</a> und wissen, wie wichtig die Community ist. Für uns ist die Community unsere Top-Priorität und wir sorgen dafür, dass wir das bestmögliche Produkt für unsere Nutzer schaffen. Zu den <a href="/de/security">Kernzielen von Elastic Security</a> gehört es, Bedrohungen jeder Art und Größe zu stoppen und Analysten mit den nötigen Tools auszustatten. Mit dem heutigen Tag machen wir ein neues GitHub-Repository, <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a>, öffentlich zugänglich, um in Ergänzung der Beiträge der Security-Community Bedrohungen in noch größerem Maße den Kampf anzusagen.
Mit der Veröffentlichung der <a href="/de/blog/elastic-siem-detections">Erkennungs-Engine</a> in Elastic Security haben wir den Elastic Stack um die automatisierte Bedrohungserkennung erweitert. Seit dem Start der Erkennungs-Engine hat das Elastic Security Intelligence & Analytics Team über 50 weitere Regeln hinzugefügt, was zu einer erhöhten Sichtbarkeit von Angriffsmethoden auf Linux-, macOS- und Windows-Systemen geführt hat. Wir arbeiten daran, die Abdeckung weiter zu verbessern, und im Zuge dieser Verbesserungen werden wir die Breite der Erkennungen ausbauen und auch neue Bereiche, wie Clouddienste und Nutzerverhalten, abdecken.
In den letzten Versionen haben wir für die Verwaltung der Regeln für die Erkennungs-Engine ein internes Repository genutzt. Wir haben unsere Testverfahren Schritt für Schritt verbessert, indem wir automatisierte Tests für neue Beiträge hinzugefügt haben, die die Kibana Query Language(KQL)-Syntax, die Schemanutzung und andere Metadaten validieren. Unsere Regelentwicklung ist jetzt ausgereifter, sodass wir schnell vorankommen, ohne anderes dafür kaputt zu machen.
Durch die Öffnung unseres GitHub-Repository <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a> lädt Elastic Security die Community ein, eigene Regeln beizusteuern, die parallel zu den von uns entwickelten Regeln zur Verfügung gestellt werden. Für uns alle bietet sich damit die Gelegenheit, unser kollektives Wissen auszutauschen, voneinander zu lernen und zusammenzuarbeiten, um unsere Ziele zu erreichen.
 <h2>Was gibt es in diesem neuen Repository?</h2>Im GitHub-Repository <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a> finden Sie für Elastic Security geschriebene Regeln, die viele <a href="https://attack.mitre.org/">MITRE ATT&CK</a>®-Methoden abdecken. Unsere aktuelle Regellogik ist primär in <a href="/guide/en/kibana/master/kuery-query.html">KQL</a> geschrieben und durch Nutzung des <a href="/guide/en/ecs/current/index.html">Elastic Common Schema (ECS)</a> müssen wir Regeln nur noch ein einziges Mal schreiben. Dank der definierten Felder und Kategorien in ECS funktionieren Regeln automatisch mit Beats-Logs und anderen Datenquellen, die vom ECS unterstützt werden.
Innerhalb des Ordners <a href="https://github.com/elastic/detection-rules/tree/main/rules">rules/</a> sind die Regeln in TOML-Dateien gespeichert und nach Plattform zusammengefasst. Wir haben versucht, durch eine flache Hierarchie dafür zu sorgen, dass Regeln einfach gefunden und neue Regeln unkompliziert hinzugefügt werden können. Wenn Sie z.&nbsp;B. nach rein Windows-spezifischen Regeln suchen, gehen Sie einfach zu <a href="https://github.com/elastic/detection-rules/tree/main/rules/windows">rules/windows</a>. Wenn Sie trotzdem Probleme haben, eine Regel zu finden, oder wenn Sie in allen Regeln suchen möchten, können Sie unsere CLI verwenden, indem Sie den Befehl <code>python -m detection_rules rule-search</code> ausführen. Daraufhin werden die Dateien mit übereinstimmenden Metadaten angezeigt.
Jede Regel enthält zusätzlich zur eigentlichen Abfrage mehrere Felder mit Metadaten, wie Titel, Beschreibung, Rauschpegel, ATT&CK-Mappings, Tags und Ausführungsintervall. Außerdem gibt es noch ein paar zusätzliche Felder, um Analysten bei der Sichtung zu unterstützen. Sie beschreiben falsch positive Ergebnisse oder zeigen hilfreiche Schritte für die Untersuchung auf. Weitere Informationen zu den Metadaten in Bezug auf Regeln finden Sie im <a href="/guide/en/siem/guide/current/rules-ui-create.html#create-rule-ui">Leitfaden zum Erstellen von Kibana-Regeln</a> und in unserer <a href="https://github.com/elastic/detection-rules/blob/main/CONTRIBUTING.md#rule-metadata">Zusammenfassung der Regel-Metadaten</a> im Leitfaden zum Beisteuern von Erkennungsregeln.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt683eae32569f7543/5efb61e38304ac0dbc4a5a0e/detection-rules-repo-blog-msbuild.png" data-sys-asset-uid="blt683eae32569f7543" alt="detection-rules-repo-blog-msbuild.png">
<figcaption>Vorschau der Datei hinter der Regel „MsBuild Making Network Connections“
</figcaption> 
<h2>Wie kommen diese Regeln in meine Erkennungs-Engine?</h2>Ob Sie unseren <a href="/de/cloud/">verwalteten Elastic Cloud-Dienst</a> oder die Standarddistribution der Elastic Stack-Software mit dem <a href="/de/subscriptions">vollständigen Satz kostenloser Features</a> nutzen, Sie erhalten in jedem Fall die allerneuesten Regeln, sobald Sie zum ersten Mal zur Erkennungs-Engine navigieren. Bei einem Upgrade erkennt die Erkennungs-Engine, dass Regeln hinzugefügt oder geändert wurden, und <a href="/guide/en/siem/guide/current/rules-ui-create.html#load-prebuilt-rules">fordert Sie auf anzugeben</a>, ob diese Regeln entsprechend aktualisiert werden sollen. Um die neueste Version der Regeln zu erhalten, müssen Sie nach dem Upgrade nur die angezeigten Schritte ausführen.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt1ca938b9d35957ee/5efb6250f715ab0f6bc3dea1/detection-rules-repo-blog-msbuild-network-connections.png" data-sys-asset-uid="blt1ca938b9d35957ee" alt="detection-rules-repo-blog-msbuild-network-connections.png">
<figcaption>Dieselbe Regel, „MsBuild Making Network Connections“, nach dem Laden in die Erkennungs-Engine
</figcaption> 
<h2>Wer wird das Repository nutzen?</h2>In diesem Repository wird das Security Intelligence & Analytics-Team von Elastic Regeln entwickeln, Issues erstellen, Pull-Anfragen verwalten und festlegen, ab welchen Versionen die Regeln gelten sollen. Wir haben das Repo offen zugänglich gemacht, weil wir alle externen Nutzer einladen möchten, an diesem Workflow mitzuwirken. Damit machen wir unseren Entwicklungsprozess transparent und zeigen, welche Regeln zukünftig in der Erkennungs-Engine veröffentlicht werden sollen.
Wenn Sie sich einbringen möchten, unterschreiben Sie bitte das <a href="/de/contributor-agreement">Contributor License Agreement (CLA)</a> von Elastic. Dies ist die Standardvereinbarung für alle Elastic-GitHub-Repositorys, mit der Sie zustimmen, dass wir Ihren Code kostenlos an Elastic-Nutzer verteilen dürfen.
 <h2>Wie gehen wir an die Bedrohungserkennung heran?</h2>Im Allgemeinen bevorzugen wir Regeln, die auf die Erkennung schädlicher Verhaltensweisen abzielen. Das bedeutet in der Regel, dass wir uns auf ATT&CK-Methoden konzentrieren. Wir nehmen damit in Kauf, dass zusätzlicher Aufwand, zum Beispiel für die Recherche, erforderlich ist, um vor dem Erstellen einer Regel mehr darüber zu erfahren, wie die entsprechende Methode funktioniert. Aber so gelingt es uns besser, nicht nur die Angriffe von gestern, sondern auch die Angriffe von heute und morgen zu erkennen und zu stoppen.
Dieser verhaltensbasierte Ansatz bedeutet auch, dass wir verschiedene Arten von Regeln brauchen. Einige erkennen möglicherweise winzig kleine Ereignisse, andere erfordern unter Umständen die Aggregation mehrerer Ereignisse oder die Suche nach Abweichungen über einem Schwellenwert. Mit <a href="https://eql.readthedocs.io">Event Query Language (EQL)</a> sind wir in der Lage, Regeln zu schreiben, die nach Verhaltensabfolgen suchen, die für mehrere Ereignisse gelten.
Natürlich ist uns bewusst, dass es manchmal Angriffsmethoden gibt, die nicht alle Nutzer aufgrund ihres Verhaltens erkennen können. Zögern Sie in diesem Fall bitte nicht, eine Regel hinzuzufügen, die eher signaturartig funktioniert und auf ein bestimmtes Verhalten oder Tool ausgerichtet ist.
Wenn Sie mehr dazu erfahren möchten, welche Eigenschaften einen ausgereiften Erkennungsmechanismus auszeichnen, lesen Sie unseren <a href="https://github.com/elastic/detection-rules/tree/main/PHILOSOPHY.md">Artikel zur Philosophie des Repository für Erkennungsregeln</a>.
 <h2>Warum brauchen wir ein neues Repository?</h2>Wenn Sie schon einmal Regeln öffentlich geteilt haben, kennen Sie wahrscheinlich bereits andere etablierte GitHub-Repositorys, wie das <a href="https://github.com/mitre-attack/car">Cyber Analytics Repository (CAR)</a> von MITRE, <a href="https://github.com/Neo23x0/sigma">Sigma</a> oder sogar die auf EQL von Elastic basierende <a href="https://eqllib.readthedocs.io">EQL Analytics Library</a>. Vielleicht fragen Sie sich nun Folgendes: Warum brauchen wir noch ein Repository? Warum nutzen wir nicht, was bereits vorhanden ist?
Die beste Antwort auf diese Frage beginnt mit einer weiteren Frage: Warum gibt es die anderen Repositorys? Sowohl CAR als auch Sigma sind absichtlich sprachen- oder plattform- und manchmal datenquellenunabhängig. Die EQL Analytics Library hingegen basiert auf einer bestimmten Sprache.
Mit unserem neuen Repository für Erkennungsregeln wollen wir einen etwas anderen Zweck erfüllen: Nutzer von Elastic Security sollen damit die bestmöglichen Erkennungen erhalten, die für viele Datenquellen funktionieren. Wir fassen die verschiedensten Schemas im ECS zusammen, wodurch es möglich ist, Regeln zu schreiben, die für mehrere Datenquellen gelten.
Der Elastic Stack unterstützt mehrere Sprachen und das soll sich auch in unseren Regeln widerspiegeln. Abfragesprachen werden typischerweise für unterschiedliche Arten von Problemen geschrieben, und wir sollten Regelentwickler nicht auf eine einzelne Sprache beschränken, wenn eine andere besser für den Zweck geeignet ist. Wir haben derzeit im Repository neben Regeln, die <a href="/guide/en/machine-learning/6.8/ml-jobs.html">Machine-Learning-Anomalieerkennungsjobs</a> nutzen, <a href="/guide/en/kibana/master/kuery-query.html">KQL</a>- und <a href="/guide/en/kibana/current/lucene-query.html">Lucene</a>-Regeln. Gegenwärtig arbeiten wir <a href="https://github.com/elastic/elasticsearch/issues/49581">eifrig daran</a>, <a href="https://eql.readthedocs.io">EQL</a> in den Elastic Stack und in unser Repository zu bringen.
Außerdem können wir im Sinne einer optimalen Elasticsearch-Performance sicherstellen, dass Best Practices befolgt werden. So muss bei der Suche nach <code>process.path:*\\cmd.exe</code> eine Prüfung auf Platzhalter durchgeführt werden, die teurer ist als eine einfache Prüfung auf Suchbegriffe. Anstelle einer Suche mit führenden Platzhalterzeichen können wir die Verwendung von <code>process.name:cmd.exe</code> empfehlen. Das bringt nicht nur schnellere, sondern auch genauere Ergebnisse. Zudem enthält ECS auch das Feld <code>process.args</code>, was eine geparste Version von <code>process.command_line</code> ist. Wir empfehlen, das geparste Feld zu verwenden, da sich dadurch nicht nur die Performance verbessert, sondern auch die Gefahr <a href="https://github.com/elastic/detection-rules/blob/main/PHILOSOPHY.md#does-a-rule-have-trivial-evasions">allzu einfacher Umgehungen durch Einfügung von Leer- oder Anführungszeichen</a> reduziert – das sind zwei Fliegen mit einer Klappe!
 <h2>Kann ich Regeln aus einem anderen Repository hinzufügen?</h2>Wenn Sie durch Ihre Kibana-Rolle die richtigen Berechtigungen haben, können Sie der Erkennungs-Engine in Ihrer eigenen Umgebung gern Regeln hinzufügen. Möchten Sie allerdings das Repository <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a> mit neuen Regeln erweitern, lautet die Antwort wenig überraschend: <a href="/de/blog/it-depends">Kommt drauf an&nbsp;...</a>. Sofern eine Regel unter der Elastic-Lizenz unterlizenziert werden kann, ist die Sache klar. Meist sind die Anforderungen ziemlich gerade heraus: Im Array <code>rule.author</code> müssen die ursprünglichen Autoren beibehalten werden und die Datei <code>NOTICE.txt</code> muss aktualisiert werden, damit auf die ursprünglichen Autoren verwiesen wird. Wir möchten nicht den Ruhm für die Arbeit anderer einheimsen und bitten Sie daher, bei diesen Angaben Sorgfalt walten zu lassen!
Wenn Sie mehr darüber wissen möchten, wie wir das Thema Lizenzierung im Repository handhaben, lesen Sie den Abschnitt <a href="https://github.com/elastic/detection-rules#licensing">Licensing</a> in der README.
 <h2>Wie kann ich mich einbringen?</h2>Sie möchten Ihre Regellogik gern mit anderen teilen? Dann gehen Sie zu <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a> auf GitHub. Dort finden Sie ausführliche Anweisungen zum Navigieren im Repository, zum Forken und Klonen sowie zum Erstellen einer Regel. Wir stellen ein Befehlszeilentool bereit, mit dem sich die Dateien gebündelt bearbeiten lassen und das das Erstellen neuer Regeln einfacher macht. Wenn Sie soweit sind und dem Repository eine neue Regel hinzufügen möchten, führen Sie <code>python -m detection_rules create-rule</code> aus; Sie werden dann nach den erforderlichen Metadaten gefragt. Wir empfehlen, nach Möglichkeit die CLI zu verwenden, da sie die Gefahr von Copy-and-Paste-Fehlern bei Wiederverwendung von Inhalten aus einer TOML-Datei aus einer anderen Regel oder Vorlage reduziert.
Wenn Sie mit Ihrer Regel erst einmal zufrieden sind, können Sie den Befehl <code>python -m detection_rules test</code> ausführen, um lokale Unittests zur Validierung von Syntax, Schemanutzung usw. durchzuführen. Erstellen Sie anschließend die Pull-Anfrage. Daraufhin wird sich ein Mitarbeiter des Intelligence & Analytics-Team Ihre Regel ansehen. Wenn wir Änderungen verlangen, arbeiten wir mit Ihnen zusammen, um zu einem gemeinsamen Ergebnis zu kommen.&nbsp;
Sollten Sie eine gute Idee für eine Regel haben und diese Idee gemeinsam mit uns umsetzen oder unsere Meinung dazu hören möchten, können Sie gern ein <a href="https://github.com/elastic/detection-rules/issues/new/choose">New&nbsp;Rule</a>-Issue erstellen. Wir freuen uns darauf, Ihnen zu helfen und gemeinsam an der Umsetzung zu arbeiten!
Weitere Informationen dazu finden Sie im <a href="https://github.com/elastic/detection-rules/tree/main/CONTRIBUTING.md">Leitfaden zum Einreichen von Beiträgen</a>.
 <h2>Wie geht es weiter?</h2>Willkommen bei unserem neuen Regel-Repository und dem zugehörigen Workflow! Wir laden Sie ein mitzumachen und würden uns freuen, im Feld <code>rule.author</code> Ihren Namen zu finden. Das Repository für Erkennungsregeln wird sich zusammen mit dem Rest von Elastic Security weiterentwickeln und wir sind gespannt auf das, was vor uns liegt.
Wenn Sie die Entwicklung von EQL im Stack verfolgen möchten, abonnieren Sie <a href="https://github.com/elastic/elasticsearch/issues/49581">diesen GitHub-Issue</a>. Oder werfen Sie einen Blick in die <a href="/guide/en/elasticsearch/reference/master/eql.html">laufende Dokumentation</a>, um zu sehen, woran das Elasticsearch-Team gerade arbeitet.
Wenn Sie Feedback für uns oder Fragen zum Schreiben von Regeln oder zum Navigieren in unserem neuen GitHub-Repository für <a href="https://github.com/elastic/detection-rules">Erkennungsregeln</a> haben, <a href="https://github.com/elastic/detection-rules/issues/new/choose">erstellen Sie ein GitHub-Issue</a>, äußern Sie sich im <a href="https://discuss.elastic.co/c/security">Diskussionsforum</a> unter dem Tag detection-rules oder besuchen Sie den Kanal #detection-rules der <a href="http://ela.st/slack">Elastic Slack-Community</a>.

blog-gears-steel-banner.jpg

blog-gears-steel-thumb.jpg

Elastic Security opens public detection rules repo

Elastic Security öffnet sein Erkennungsregel-Repo

Start free trial

Blog Footer CTA

Sign up for Elastic Cloud free trial

Senior Security Research Engineer

Ross Wolf

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_self">Terms of Service</a>, and you agree to receive the <a href="/legal/privacy-statement#how-we-use-the-information" target="_self">selected communications</a> at the contact details you provided above. See <a href="/legal/privacy-statement/" target="_self">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Communication Preferences - ONLY for /communication-preferences

Durch das Absenden erklären Sie, dass Sie unsere <a href="/de/legal/elastic-cloud-account-terms" target="_self">Nutzungsbedingungen</a> gelesen haben und mit ihnen einverstanden sind und dass Sie Elastic erlauben, <a href="/de/legal/privacy-statement#how-we-use-the-information" target="_self">ausgewählte Nachrichten und Informationen</a> an die oben von Ihnen bereitgestellten Kontaktangaben zu senden. Weitere Informationen, darunter auch dazu, wie Sie Ihre Einwilligung zurückziehen können, finden Sie in der <a href="/de/legal/privacy-statement/" target="_self">Datenschutzerklärung von Elastic</a>.

By submitting you acknowledge that you've read and agree to our <a href="/legal/serverless-preview-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Serverless GDPR Text

Durch das Absenden erklären Sie, dass Sie unsere <a href="/de/legal/serverless-preview-terms" target="_self">Nutzungsbedingungen</a> gelesen haben und mit ihnen einverstanden sind und dass Sie Elastic erlauben, bezüglich unserer zugehörigen Produkte und Dienstleistungen und unter Nutzung der von Ihnen oben bereitgestellten Kontaktangaben <a href="/de/legal/privacy-statement#how-we-use-the-information" target="_self">mit Ihnen in Kontakt zu treten</a>. Weitere Informationen, darunter auch dazu, wie Sie Ihre Einwilligung zurückziehen können, finden Sie in der <a href="/de/legal/privacy-statement/" target="_self">Datenschutzerklärung von Elastic</a>.

By submitting you agree to <a href="/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud Terms of Service</a>. Your personal data will be processed in accordance with <a href="/legal/privacy-statement">Elastic's Privacy Statement</a>.

Cloud Trial GDPR Text

Beim Absenden akzeptieren Sie die <a href="/de/agreements/global/cloud-services-monthly" rel="nofollow">Nutzungsbedingungen von Elastic Cloud</a>. Die Verarbeitung Ihrer personenbezogenen Daten unterliegt der <a href="/de/legal/privacy-statement">Datenschutzerklärung von Elastic</a>.

By submitting you acknowledge that you've read and agree to our <a href="/legal/terms-of-use" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Newsletter GDPR Text

Durch das Absenden erklären Sie, dass Sie unsere <a href="/de/legal/terms-of-use" target="_self">Nutzungsbedingungen</a> gelesen haben und mit ihnen einverstanden sind und dass Sie Elastic erlauben, bezüglich unserer zugehörigen Produkte und Dienstleistungen und unter Nutzung der von Ihnen oben bereitgestellten Kontaktangaben <a href="/de/legal/privacy-statement#how-we-use-the-information" target="_self">mit Ihnen in Kontakt zu treten</a>. Weitere Informationen, darunter auch dazu, wie Sie Ihre Einwilligung zurückziehen können, finden Sie in der <a href="/de/legal/privacy-statement/" target="_self">Datenschutzerklärung von Elastic</a>.

Explore similar demos

Overview

Speakers

Close

See more insights

The content on this page is not available in the selected language. As Elastic grows globally, we continue to support content in multiple languages.

The content on this page is not available in the selected language.

Der Inhalt dieser Seite ist in der ausgewählten Sprache nicht verfügbar. Wir bei Elastic arbeiten daran, die bereitgestellten Inhalte in verschiedenen Sprachen anzubieten. Bis dahin bitten wir Sie um etwas Geduld und hoffen auf Ihr Verständnis!

Author

Watch now (no PT)

Watch now

See all top stories

All (no PT translation)

Contact information

Press Release

Share on Reddit

Articles by

Share this story

Share by Email

Thank you for your interest!

Contact Info

Follow us on Youtube

Load More

Share on LinkedIn

Follow us on LinkedIn

Search Integrations

All Solutions

Video for

Follow us on Twitter

See when this webinar starts in my time zone

Register to Watch

Register now

See All Posts

Can't make it? Register and we'll send you the recording. You'll also receive an email with related content

Sie können nicht dabei sein? Registrieren Sie sich, damit wir Ihnen die Aufzeichnung zukommen lassen können. Außerdem erhalten Sie eine E‑Mail mit Begleitmaterial.

Small image for

On-demand webinar

Featured webinar

Register to Attend

Share on Facebook

Reset all

Upcoming webinar

View more posts

Print

Hosted by

Sign In to Attend

View next

Follow us on Facebook

Share

Highlights

Learn More

Read less

You'll also receive an email with related content

Wir schicken Ihnen zudem relevante Informationen, die von Interesse sein könnten.

Thank you for registering. We will send you a confirmation email soon.

Vielen Dank für Ihre Registrierung. Sie erhalten in Kürze eine Bestätigungs-E‑Mail von uns.

Author

Articles by Ross Wolf

Senior Security Research Engineer, Elastic

Elastic Security öffnet sein Erkennungsregel-Repo