Elastic Security로 직접 구현하는 코드형 탐지

초기부터 Elastic 탐지-rules 저장소 에는 Elastic의 사전 구축된 탐지 규칙뿐만 아니라, Elastic TRaDE(위협 연구 및 탐지 엔지니어링) 팀이 사용하는 테스트 제품군, CLI 명령, 자동화 스크립트와 같은 탐지 규칙 관리를 위한 추가 도구도 포함되어 있었습니다.

Elastic의 TRaDE 팀은 수년간 Detections as Code(DaC) 관행을 따르며 Elastic의 미리 빌드된 탐지 및 엔드포인트 규칙에 대한 내부 개발 및 릴리즈 프로세스를 지원해 왔습니다. 고객들은 과거에 주로 탐지-rules CLI를 사용해 왔습니다. 이 도구는 Elastic SIEM을 통한 규칙 관리를 용이하게 하기 위해 Kibana API 래퍼와 CLI 명령을 제공했지만, 사용자가 Elastic의 내부 프로세스와 엄격한 제한 사항을 채택해야 했습니다.

DaC가 더욱 주류가 되고 개방성에 대한 Elastic의 약속을 지속함에 따라, 사용자가 규칙 관리를 위해 Elastic의 탐지-rules 리포지토리를 사용하여 자체 DaC 프로세스를 더 쉽게 시작할 수 있도록 노력하고 있습니다. 이러한 DaC 확장은 기존 탐지 규칙 기능을 기반으로 구축되어 탐지 엔지니어에게 엔드투엔드 경험을 제공할 것입니다.

이 방법론은 보안 팀 간의 협업을 강화하고, 업데이트를 간소화하며, 진화하는 위협에 대해 보다 민첩하게 대응할 수 있도록 지원합니다. 근본적으로, 당사는 고객이 내부 프로세스에 내장할 수 있도록 더 많은 내부 기능을 노출함으로써 고객의 탐지 엔지니어링 성숙도를 향상시키는 데 전념하고 있습니다.

DaC 도입은 여러 요인에 의해 추진됩니다:

• 보안 팀의 성숙도를 높이십시오: DaC를 구현하면 보안 팀 내에서 성숙하고 반복 가능한 프로세스를 개발할 수 있습니다. 또한 체계적인 동료 검토와 엄격한 테스트를 통해 고품질의 탐지를 유지하도록 지원합니다.

• 계속 증가하는 규칙 세트: 규칙 수가 증가함에 따라 DaC 없이 탐지 규칙을 유지관리하는 것은 불가능해집니다.

• 확장되는 위협 환경: 새로운 위협으로부터 Protect하는 데 필요한 광범위한 커버리지를 위해서는 다양한 기술 수준에 적합한 확장성 있는 접근 방식이 필요합니다.

• 자동화의 폭넓은 도입: IaC 원칙 도입으로 대표되는 기술 환경 내 자동화의 확산은 보안팀이 사용하는 모든 도구 전반에 걸쳐 향상된 자동화 기능을 요구합니다. DaC는 규칙 관리를 자동화된 워크플로우에 통합하여 일관성과 효율성을 보장하고 새로운 위협에 신속하게 대응할 수 있도록 함으로써 이러한 추세에 부합합니다.

• 규정 준수 및 거버넌스 요구 사항: 많은 조직이 SIEM 탐지에 대한 동료 검토, 변경 제어 및 재해 복구와 관련된 인증 규정 준수 요구 사항을 충족하기 위해 DaC를 도입하고 있습니다. DaC를 구현하면 엄격한 거버넌스 표준에 따라 보안 규칙이 개발, 검토 및 유지 관리되므로 규정 준수에 대한 감사 가능한 증거를 제공할 수 있습니다.

참조 설명서 및 슬라이드에서 DaC의 핵심 구성 요소에 대해 자세히 읽어보실 수 있습니다: 

1. 버전 관리 시스템(VCS) 내에서 규칙 유지관리하기

2. VCS에서 각 플랫폼으로 규칙 동기화

3. Platform 내 규칙 관리

4. 플랫폼에서 VCS로 규칙 동기화

또한, 다음 중 하나를 사용하여 DaC의 핵심 구성 요소를 관리하기 위한 다양한 모델을 문서화했습니다:

1. 권위 있는 소스로서의 VCS

2. 권위 있는 Platform

3. VCS와 Platform 간 이중 동기화

원하는 접근 방식에 따라 다양한 수준의 세부 정보를 제공하며, Elastic Security 솔루션에서 멀어질수록 더 추상적인 정보가 제공됩니다.

슬라이드: 이 슬라이드는 상위 수준의 구성 요소, 워크플로우 및 구분 사항을 설명합니다. 또한 탐지 규칙 리포지토리 사용의 이점과 퀵스타트 엔드 투 엔드 참조 예제도 다룹니다. 

참조 문서: 이 참조 문서는 특히 Elastic Security 환경 내에서 탐지 규칙을 개발, 배포 및 관리하는 데 필요한 고려 사항과 장단점을 다루고 있습니다. 이 문서는 특히 다음 사용자에게 유용합니다:

• Security 분석가가 자동화를 활용하여 규칙 관리를 효율화하고 새로운 위협에 더 신속하게 대응하고자 하는

• 탐지 로직 개발, 테스트 및 배포를 간소화하기 위한 방법론을 찾는 탐지 엔지니어

• 팀 내 규칙 버전 관리, 협업 및 품질 보증을 위한 모범 사례를 구현하고자 하는 Security 팀 리드

• CI/CD 파이프라인에 보안 관행을 통합하고 워크플로우 내에서 보다 응집력 있고 자동화된 보안 접근 방식을 지향하는 DevOps 엔지니어

• 민첩성, 반복성 및 신뢰성을 향상하기 위해 보안 운영에 as-code 원칙을 통합하는 방법을 모색하는 IT 보안 아키텍트

더 구체적인 방향을 원하시는 분들을 위해, 당사는 탐지 규칙(detection-rules) 접근 방식을 권장합니다. alpha 탐지 규칙(detection-rules) 브랜치, 이 슬라이드 내의 콘텐츠, 그리고 이 참조 가이드는 변경될 수 있음을 유의하시기 바랍니다. 변경 사항을 `main` 브랜치로 최종 마이그레이션하면 그에 따라 콘텐츠를 업데이트할 예정입니다.

이 게시물에서 설명된 모든 기능이나 성능의 출시와 일정은 Elastic의 단독 재량에 따라 결정됩니다. 현재 제공되지 않는 기능이나 성능은 예정된 시간에 출시되지 않을 수도 있으며 아예 제공되지 않을 수도 있습니다.