Forneça à sua equipe do centro de operações de segurança (SOC) uma experiência unificada com regras de detecção de SIEM pré-criadas.

Com o lançamento do <a href="/pt/blog/elastic-security-7-6-0-released">Elastic Security 7.6</a>, anunciamos a criação de um moderno mecanismo de detecção que fornece às equipes do SOC uma experiência unificada de regras de SIEM por meio das detecções do Elastic SIEM.&nbsp;O mecanismo de detecção utiliza um conjunto específico de mecanismos de análise de dados do Elasticsearch e opera com uma nova plataforma de execução distribuída no Kibana.&nbsp;Neste post, fornecemos uma breve visão geral do fluxo de detecções no Elastic SIEM e discutimos os novos recursos de UI e de backend que ajudam essas detecções a funcionar perfeitamente para os nossos usuários.Antes de entrarmos nas detecções, uma observação rápida: se você está pronto(a) para experimentar o app do SIEM, confira a nossa <a href="/pt/blog/elastic-siem-for-small-business-and-home-1-getting-started">série de posts do blog sobre SIEM para pequenas empresas e para uso pessoal</a>. A série aborda a configuração na nuvem com a nossa <a href="/pt/products/elasticsearch/service">avaliação do Elasticsearch Service</a> gratuita, usando os Beats para coletar e transmitir dados com segurança dos seus sistemas para o SIEM e muito mais (é&nbsp;muito mais fácil do que você imagina). Também oferecemos um <a href="/guide/en/siem/guide/7.6/install-siem.html">guia de introdução para implantações híbridas</a>. <h2>Fluxo de trabalho da UI para gerenciamento de sinais
</h2>Os elementos básicos das detecções do Elastic SIEM são os sinais, que são documentos do Elasticsearch criados quando as condições de uma regra de detecção de sinais são atendidas. No caso mais simples, um documento de sinal é criado para cada evento correspondente à consulta definida na regra. O documento de sinal contém uma cópia dos campos do documento correspondente e é mantido em um índice de sinais separado. Os eventos originais não são modificados quando um sinal é criado.Os sinais são apresentados no app do SIEM. Quando um profissional vê um novo sinal pela primeira vez, ele está em estado aberto. Após a análise e a determinação das próximas etapas, o profissional o altera para o estado fechado. Todas essas alterações podem ser gerenciadas na visualização Detections (Detecções) no app do SIEM.<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt828482255973f9c4/5e669becc39d9b5d36c3d124/siem_detections_histogram_sorted_risk_score.png"> 
 O histograma de contagem de sinais mostra os sinais abertos e permite comparações rápidas entre os principais atributos:<ul><li>Pontuação, gravidade, tipo, nome ou nome de tática do MITRE ATT&CK™&nbsp;</li><li>Endereço IP de origem ou destino</li><li>Ação ou <a href="/guide/en/ecs/1.4/ecs-allowed-values-event-category.html">categoria</a> do evento</li><li><a href="/guide/en/ecs/1.4/ecs-allowed-values-event-category.html"></a>Nome de host ou usuário</li></ul><img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltebdcb7c7316b8bb7/5e669d474e03445d41facf35/siem_detections_signal_histogram.gif"> A próxima etapa é a investigação de sinais na linha do tempo: <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt4e14d9a0b0452596/5e669de00b333d44908d0e40/siem_detections_signals_timeline_view_in_timeline_with_id.png"> 
Se você não especificou um modelo de linha do tempo ao <a href="/guide/en/siem/guide/7.6/rules-ui-create.html#create-rule-ui">criar uma regra</a>, a linha do tempo é preenchida com um documento de sinal. Se você especificou um modelo de linha do tempo, a linha do tempo é preenchida com o que o usuário salvou, agilizando as investigações para certos tipos de regras. <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt4ddf4e3f1426a1a2/5e669dad6d9a795c6ecf10d4/siem_detections_signals_timeline_view_in_timeline_with_template.png"> Os profissionais podem visualizar alertas de sistemas externos, como&nbsp;<a href="/pt/blog/introducing-elastic-endpoint-security">Elastic Endpoint Security</a>, Suricata ou Zeek, na guia “External alerts” (Alertas externos) dedicada. Muitas organizações também implementam regras que geram sinais para a emissão de valiosos alertas externos. Dessa forma, elas podem se beneficiar do fluxo de trabalho investigativo aprimorado para sinais.<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt761ddf4865c94d43/5e669f706a12c038f19ec035/siem_detections_external_alerts_tab.png"> Depois que um sinal ou um conjunto de sinais tiver sido investigado até o analista ficar satisfeito, ele poderá fechar os sinais individualmente ou em massa. Os sinais também podem ser reabertos se necessário. Estamos trabalhando para criar maneiras de automatizar o fechamento dos sinais em versões futuras. <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltda92d9e0aceff2b7/5e669fc018b328555145dd83/siem_detections_signals_close_signal_hover.png"> <h2 style="background-color: rgb(255, 255, 255);"> </h2><h2 style="background-color: rgb(255, 255, 255);">Fluxo de trabalho da UI para criação de regras</h2>Para que os sinais comecem a aparecer, as detecções precisam que regras sejam executadas. A criação de uma regra para detecções de SIEM é simples e direta. Tudo se resume a três etapas básicas:1) Gere a consulta a ser usada sempre que a regra for executada. Essa consulta pode ser a sintaxe Lucene, <a href="/guide/en/kibana/7.6/kuery-query.html">KQL</a> ou uma busca salva. Além disso, a consulta pode ser importada de uma linha do tempo salva (com muitas outras opções para consultas de regras atualmente em desenvolvimento para um futuro lançamento):<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltc1a892690f4dc394/5e66a04363a80b5c6fc5a1bf/siem_detections_create_rule_custom_query.png"> 2) Adicione algumas informações que descrevem a regra (título, descrição etc.): <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt950d4ac86c74a8c6/5e66a09b6d9a795c6ecf10da/siem_detections_create_about_rule.png"> 3) Programe o intervalo em que a regra deve ser executada e um <a href="/guide/en/siem/guide/7.6/rules-ui-create.html#create-rule-ui">tempo de lookback adicional</a> para verificações de integridade. Geralmente, recomendamos um certo tempo de lookback para levar em conta os atrasos que podem ocorrer no pipeline de ingestão de um determinado usuário. Também recomendamos algum tempo de lookback por não ser garantido que as regras sejam executadas exatamente no intervalo programado; assim, pode haver um atraso entre as execuções. Uma fila de workers do gerenciador de tarefas sobrecarregado ou <a href="/pt/blog/advanced-tuning-finding-and-fixing-slow-elasticsearch-queries">recursos de computação</a> insuficientes podem causar esses atrasos. <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt7175ab0a1e156ec1/5e66a0cc329c6c3829894d56/siem_detections_create_rule_schedule.png"> Esses são os três componentes básicos que compõem uma regra de detecções. Também fornecemos configurações para classificar essa regra de acordo com as táticas e técnicas do MITRE ATT&CK, além de links para referências adicionais. <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltadabd5e1e1fac099/5e66a11f63a80b5c6fc5a1c5/siem_detections_create_advanced_settings_blank_timeline.png"> Os usuários também podem executar ações nas regras existentes individualmente ou em massa, como duplicar (para customizações), desativar, exportar e excluir regras. Também temos um guia para mais informações sobre <a href="/guide/en/siem/guide/7.6/rules-ui-create.html">gerenciamento geral de regras</a>. <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltd9fc55f1c8850ce7/5e66a1540b333d44908d0e52/siem_detections_rules_deactivate_selected.png"> <h2 style="background-color: rgb(255, 255, 255);"> </h2><h2 style="background-color: rgb(255, 255, 255);">Regras pré-criadas</h2>As regras podem ser difíceis de serem desenvolvidas e demorar muito para serem testadas. Por esse motivo, as detecções começaram com 92 regras pré-criadas, desenvolvidas pela equipe de Inteligência e Analítica do Elastic Security,&nbsp;e têm&nbsp;<a href="/pt/blog/securing-our-own-endpoints-with-elastic-security">sido usadas extensivamente na Elastic em um ambiente de produção</a>. Novas regras que respondem às ameaças críticas mais recentes estão sendo <a href="/pt/blog/playing-defense-against-gamaredon-group">desenvolvidas continuamente</a>. Para carregá-las e deixá-las prontas para serem executadas, basta clicar em um botão! Você pode ler mais sobre como usar e ajustar as regras pré-criadas <a href="/guide/en/siem/guide/7.6/prebuilt-rules.html">aqui</a>.<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blte20be84367f8f502/5e66a17e18b328555145dd8b/siem_detections_signal_rules_load_prebuilt_rules_screen.png"> <h2 style="background-color: rgb(255, 255, 255);"> </h2><h2 style="background-color: rgb(255, 255, 255);">Detalhes da implementação de detecções</h2>Logo após o <a href="/pt/blog/alerting-in-the-elastic-stack">Alerting no Elastic Stack</a> chegar ao Kibana para fornecer suporte para alertas como entidades de primeira classe, o Elastic SIEM utilizou o alerta como base para as detecções. Por trás da UI, o Detections usa uma&nbsp;<a href="/guide/en/siem/guide/7.6/rule-api-overview.html">API</a>&nbsp;em camadas sobre a <a href="https://github.com/elastic/kibana/blob/v7.6.0/x-pack/legacy/plugins/alerting/README.md">API de alerta</a>. A API de detecções do SIEM proporciona comodidade, fluxos de trabalho (como a abertura e o fechamento de sinais), as especificidades de segurança do domínio (como a identificação do MITRE ATT&CK) e o <a href="/guide/en/kibana/7.6/kuery-query.html">suporte para KQL</a>.<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltfc2a6219ce8d8cd5/5e66a1a418b328555145dd91/siem_detections_rules_define_rule_saved_query.png"> 
As regras são executadas nos bastidores criando uma chave de API e, em seguida, utilizando-a para fazer solicitações em nome do usuário. Usa-se <a href="/guide/en/elasticsearch/reference/7.6/search-request-body.html#request-body-search-search-after">search after</a>&nbsp;para encontrar eventos correspondentes e&nbsp;<a href="/guide/en/elasticsearch/reference/7.6/docs-bulk.html">bulk create</a>&nbsp;para copiar as informações do evento para um documento de sinal no índice de sinais. Um sinal é composto pelos detalhes da regra e pelos detalhes do documento do evento original correspondido pela regra. <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltfc78b7cafe4517d9/5e66a1bf0b6249392652ce1d/siem_detections_api_key_screen.png"> 
Se mais de 100 documentos correspondentes forem encontrados em uma única execução de regra, apenas as últimas 100 correspondências — por ordem de classificação `@timestamp` decrescente — serão copiadas para o índice de sinais. O índice de sinais é criado automaticamente em cada espaço do Kibana na primeira vez que você visita a página de regras de detecção de sinais. O formato do nome do índice é `.siem-signals-<space name="">`. Para o espaço padrão ou, se os espaços não estiverem habilitados, o nome do índice de sinais será `.siem-signals-default`. Cada índice de sinais criado para cada espaço tem uma configuração de <a href="https://github.com/elastic/kibana/blob/v7.6.0/x-pack/legacy/plugins/siem/server/lib/detection_engine/routes/index/signals_policy.json">gestão de ciclo de vida</a> do índice de 50 GB ou 30 dias antes do rollover.&nbsp; Os índices de sinais são retidos indefinidamente.</space>O mapeamento do índice de sinais de SIEM é uma combinação do&nbsp;<a href="https://github.com/elastic/kibana/blob/v7.6.0/x-pack/legacy/plugins/siem/server/lib/detection_engine/routes/index/ecs_mapping.json">Elastic Common Schema (ECS)</a>&nbsp;e de um mapeamento customizado da nossa definição do que é&nbsp;<a href="https://github.com/elastic/kibana/blob/v7.6.0/x-pack/legacy/plugins/siem/server/lib/detection_engine/routes/index/signals_mapping.json">um sinal</a>. Quando um documento correspondente for detectado na consulta de regra, ele copiará os campos dos índices de origem, e os campos de sinal resultantes serão pesquisáveis se os campos no documento de origem forem compatíveis com o&nbsp;<a href="/pt/blog/introducing-the-elastic-common-schema">ECS</a>. Se os campos dos índices de origem não fizerem parte do ECS, eles ainda serão armazenados no `_source` do sinal e poderão ser visualizados na linha do tempo e em outras partes da aplicação. No entanto, não serão pesquisáveis. <h2 style="background-color: rgb(255, 255, 255);">Escalabilidade</h2>A UI do Detections é criada sobre o <a href="https://github.com/elastic/kibana/blob/v7.6.0/x-pack/legacy/plugins/alerting/README.md">framework de Alerting do Kibana</a> recém-desenvolvido e o gerenciador de tarefas do Kibana. Esses dois fornecem recursos de ampliação horizontal e vertical, proporcionando flexibilidade para melhor adaptação a qualquer hardware disponível no momento. Os <a href="https://github.com/elastic/kibana/blob/v7.6.0/x-pack/plugins/task_manager/server/README.md">workers do gerenciador de tarefas</a> do Kibana podem ter sua quantidade aumentada para tirar proveito da ampliação vertical ou podem ser replicados em instâncias separadas do Kibana e ampliados horizontalmente.Quando várias instâncias do Kibana estiverem em execução, os gerenciadores de tarefas farão a coordenação para balancear as tarefas entre as instâncias. Atualizando o número de max_workers dentro do arquivo kibana.yml de seu padrão de 10, você pode fazer uma ampliação ou redução vertical para alocar recursos de maneira mais eficiente e apropriada por nó do Kibana. <h2 style="background-color: rgb(255, 255, 255);">Desduplicação de sinal</h2>Quando uma regra está em execução, ela gera sinais com base nos eventos encontrados que correspondem à consulta da regra. Às vezes, sinais duplicados podem ser criados pela sobreposição de consultas em regras separadas ou por uma regra executada duas vezes seguidas que captura o mesmo sinal devido a um longo tempo adicional de lookback. Para impedir que um sinal duplicado apareça na tabela de sinais, identificamos sinais com base no índice de onde provém o evento, no ID do documento do evento de origem, no número da versão do evento de origem e no ID da regra em execução. Usando hash <a href="https://github.com/elastic/kibana/blob/v7.6.0/x-pack/legacy/plugins/siem/server/lib/detection_engine/signals/utils.ts#L11-L19">nessas propriedades</a>, garantimos que apenas sinais únicos sejam adicionados ao índice de sinais.<h2 style="background-color: rgb(255, 255, 255);">Erros</h2>Às vezes, os erros aparecem devido a um erro de sintaxe na consulta de uma regra ou a algum outro problema durante o período de execução da regra. Apresentamos esses itens na guia Failure History (Histórico de falhas) na página de detalhes da regra. Planejamos expandir a visibilidade das informações de execução e do monitoramento geral das regras no futuro.&nbsp;<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltffc432e29392e581/5e66a1de0b6249392652ce23/siem_detections_error_string.png"> E aqui podemos ver o histórico de falhas, que exibe os últimos cinco erros que ocorreram durante a execução da regra: <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt92ce96e19860407b/5e66a1f6c39d9b5d36c3d13e/siem_detections_failure_history_tab.png"> 
<h2 style="background-color: rgb(255, 255, 255);"> </h2><h2 style="background-color: rgb(255, 255, 255);">Detections do SIEM no futuro</h2>A parte mais empolgante de trabalhar nessa versão beta do Detections do Elastic SIEM e lançá-la, é o feedback inicial e contínuo da comunidade no <a href="https://discuss.elastic.co/c/siem">fórum de discussão do Elastic SIEM</a> e na nossa <a href="https://github.com/elastic/kibana/issues?utf8=%E2%9C%93&q=is%3Aopen+is%3Aissue+label%3ATeam%3ASIEM+detection">lista de controle de recursos abertos</a>.&nbsp;Temos grandes planos para tornar as detecções ainda mais poderosas. A expansão das consultas de regras para incluir agregações, trabalhos de machine learning e EQL são apenas algumas delas. Se você pensar em algo que seja um ótimo caso de uso de segurança ou quiser fazer uma ou duas perguntas sobre o que está acontecendo, junte-se a nós!

blog-gears-steel-banner.jpg

blog-gears-steel-thumb.jpg

Elastic SIEM detections

Detecções do Elastic SIEM

Start free trial

Blog Footer CTA

Sign up for Elastic Cloud free trial

Frank Hassanabad

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_self">Terms of Service</a>, and you agree to receive the <a href="/legal/privacy-statement#how-we-use-the-information" target="_self">selected communications</a> at the contact details you provided above. See <a href="/legal/privacy-statement/" target="_self">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Communication Preferences - ONLY for /communication-preferences

Ao enviar a confirmação, você reconhece que leu e concorda com nossos <a href="/pt/legal/elastic-cloud-account-terms" target="_self">Termos de Serviço</a> e também concorda em receber <a href="/pt/legal/privacy-statement#how-we-use-the-information" target="_self">comunicações especiais</a> por meio dos dados de contato que forneceu acima. Consulte a <a href="/pt/legal/privacy-statement/" target="_self">Declaração de Privacidade da Elastic</a> para saber mais detalhes ou para cancelar a qualquer momento.

By submitting you acknowledge that you've read and agree to our <a href="/legal/serverless-preview-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Serverless GDPR Text

Ao enviar a confirmação, você reconhece que leu e concorda com nossos <a href="/pt/legal/serverless-preview-terms" target="_self">Termos de Serviço</a> e que a Elastic pode <a href="/pt/legal/privacy-statement#how-we-use-the-information" target="_self">entrar em contato com você</a> para divulgar nossos produtos e serviços relacionados usando os dados que você forneceu acima. Consulte a <a href="/pt/legal/privacy-statement/" target="_self">Declaração de Privacidade da Elastic</a> para saber mais detalhes ou para cancelar a qualquer momento.

By submitting you agree to <a href="/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud Terms of Service</a>. Your personal data will be processed in accordance with <a href="/legal/privacy-statement">Elastic's Privacy Statement</a>.

Cloud Trial GDPR Text

Ao enviar, você concorda com os <a href="/pt/agreements/global/cloud-services-monthly" rel="nofollow">Termos de Serviço do Elastic Cloud</a>. Seus dados pessoais serão tratados de acordo com a <a href="/pt/legal/privacy-statement">Declaração de Privacidade da Elastic</a>.

By submitting you acknowledge that you've read and agree to our <a href="/legal/terms-of-use" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Newsletter GDPR Text

Ao enviar a confirmação, você reconhece que leu e concorda com nossos <a href="/pt/legal/terms-of-use" target="_self">Termos de Serviço</a> e que a Elastic pode <a href="/pt/legal/privacy-statement#how-we-use-the-information" target="_self">entrar em contato com você</a> para divulgar nossos produtos e serviços relacionados usando os dados que você forneceu acima. Consulte a <a href="/pt/legal/privacy-statement/" target="_self">Declaração de Privacidade da Elastic</a> para saber mais detalhes ou para cancelar a qualquer momento.

Explore similar demos

Explore outras demonstrações semelhantes

Overview

Load More

Speakers

Close

See more insights

The content on this page is not available in the selected language. As Elastic grows globally, we continue to support content in multiple languages.

The content on this page is not available in the selected language.

O conteúdo desta página não está disponível no idioma selecionado. A Elastic está trabalhando para garantir que o conteúdo esteja disponível em vários idiomas.Agradecemos a compreensão.

Author

Articles by

Learn more

Watch now (no PT)

Watch now

See all top stories

All (no PT translation)

Contact information

Press Release

Share on Reddit

Share this story

Share by Email

Thank you for your interest!

Contact Info

Follow us on Youtube

Share on LinkedIn

Follow us on LinkedIn

Search Integrations

All Solutions

Video for

Follow us on Twitter

See when this webinar starts in my time zone

Consultar a hora de início do webinar no meu fuso horário

Register to Watch

Register now

See All Posts

Can't make it? Register and we'll send you the recording. You'll also receive an email with related content

Não vai conseguir participar? Inscreva-se e nós lhe enviaremos a gravação. Você também receberá um email com conteúdo relacionado.

Author

Articles by Frank Hassanabad

Elastic

Detecções do Elastic SIEM

Sign up for Elastic Cloud free trial