Elastic Security: SIEM, reglas de detección e investigación

1. Elastic Security #

SIEM y protección.

El alcance #

Elastic Security reúne un SIEM (detección e investigación sobre los logs), la protección de los puestos (Elastic Defend, integración de Elastic Agent) y la seguridad en la nube. Todo se basa en datos en formato ECS: eso permite que una misma regla funcione en Windows, Linux o un cortafuegos.

Licencia #

Para saber: Con la licencia Basic, las acciones de las reglas se limitan a los conectores Server log e Index: las alertas siguen visibles en Kibana, pero notificar a una herramienta externa requiere una suscripción.

2. Las reglas de detección #

Seis familias.

Tipos de reglas #

sequence by source.ip, user.name with maxspan=10m
  [authentication where event.outcome == "failure"]
  [authentication where event.outcome == "success"]

FROM logs-*
| WHERE event.category == "authentication" AND event.outcome == "failure"
| STATS echecs = COUNT(*) BY source.ip
| WHERE echecs > 20

Reglas listas para usar #

Elastic mantiene más de mil reglas, asociadas a las tácticas y técnicas de MITRE ATT&CK. Se instalan desde Security › Rules, se activan las que corresponden a los datos recogidos y después se añaden excepciones para el ruido legítimo.

Error común: Activar todas las reglas de golpe: la mayoría fallan por falta de datos o ahogan al equipo en falsos positivos. Activa por fuente de datos, observa una semana y luego ajusta.

Para saber: Cada regla se ejecuta a intervalos regulares (interval) sobre una ventana (from) algo más amplia para no perder nada entre dos ejecuciones.

3. Investigar #

Alertas, timelines, cases.

El ciclo de tratamiento #

1. Clasificar las alertas por severidad y puntuación de riesgo; agrupar por host o usuario.
2. Investigar en una timeline: eventos alrededor de la alerta, árbol de procesos, consultas EQL.
3. Hacer el seguimiento en un case: comentarios, adjuntos, exportación a una herramienta de tickets (conector).
4. Responder: aislar un host con Elastic Defend, añadir una excepción, cerrar la alerta.

Según la versión: el asistente de IA y Attack Discovery (agrupación de alertas en ataques) dependen de la versión y de la licencia; requieren un conector hacia un modelo de lenguaje.