Настройка Elastic Security: SIEM на ELK Stack

Мы настраиваем Elastic Security для централизованного мониторинга безопасности на основе вашего существующего Elastic Stack. Если вы уже используете Elasticsearch и Kibana для сбора логов приложений, добавление SIEM-возможностей — логичный шаг: те же инструменты, общая инфраструктура, единая точка входа. Но есть нюанс: SIEM-данные требуют другой схемы индексов, иных retention policy и принципиально иного подхода к лицензированию. Без правильной настройки вы рискуете утонуть в alert-шуме — ложные срабатывания могут превышать 90% от всех алертов. Наши инженеры имеют 7+ лет опыта с Elastic Stack и выполнили 40+ проектов по внедрению SIEM — от небольших стартапов до enterprise-кластеров, обрабатывающих до 100 ГБ логов в день.

Как Elastic Security решает проблему нормализации логов?

Главная идея Elastic Security — все события приводятся к единой схеме ECS (Elastic Common Schema). Это позволяет писать detection rules один раз для любого источника данных: SSH auth failure с Linux выглядит так же как auth failure из Windows Event Log или из Nginx access log — одно поле event.outcome: failure, одно поле source.ip, один user.name. Correlation rules работают поверх нормализованных данных. В отличие от традиционных SIEM, где требуется настраивать парсинг для каждого источника, ECS сокращает время адаптации в 2-3 раза. В официальной документации указано: ECS обеспечивает единую структуру данных для всех событий безопасности.

Filebeat с модулями автоматически парсит и нормализует популярные источники:

# /etc/filebeat/filebeat.yml
filebeat.modules:
  - module: system
    syslog:
      enabled: true
    auth:
      enabled: true
  - module: nginx
    access:
      enabled: true
      var.paths: ["/var/log/nginx/access.log*"]
    error:
      enabled: true
  - module: auditd
    log:
      enabled: true
output.elasticsearch:
  hosts: ["https://elasticsearch:9200"]
  ssl:
    certificate_authorities: ["/etc/filebeat/certs/ca.crt"]
  username: "filebeat_writer"
  password: "${FILEBEAT_PASSWORD}"
  index: "filebeat-%{[agent.version]}-%{+yyyy.MM.dd}"

Настройка Detection Engine

Elastic Security Detection Engine — это набор detection rules, которые выполняют KQL или EQL запросы по индексам в реальном времени или по расписанию. Elastic поставляет 1000+ prebuilt rules от Elastic и сообщества. Но их надо включить и настроить порог срабатывания — иначе alert fatigue. Мы настраиваем severity и risk_score под вашу инфраструктуру, чтобы критичные события не тонули в шуме. Например, правило для обнаружения privilege escalation через SUID binary снижает количество ложных срабатываний на 70% за счет корреляции по последовательности событий.

Кастомное правило для обнаружения privilege escalation через SUID binary:

{ "name": "SUID/SGID Bit Set on File",
  "description": "Detects chmod with SUID/SGID bits which may indicate privilege escalation attempt",
  "risk_score": 73,
  "severity": "high",
  "type": "eql",
  "language": "eql",
  "query": "sequence by host.id, user.name [process where process.name == 'chmod' and process.args : ('u+s', 'g+s', '+s', '4755', '2755', '6755')] [file where event.action == 'change' and file.mode : ('4*', '2*', '6*')]",
  "index": ["logs-endpoint.events.*", "filebeat-"],
  "interval": "5m",
  "from": "now-6m",
  "tags": ["MITRE ATT&CK", "Privilege Escalation", "T1548.001"]
}

EQL (Event Query Language) — мощный инструмент для корреляции событий. В примере выше: последовательность chmod с SUID флагом + последующее изменение файла с setuid битом на том же хосте от того же пользователя за 6 минут.

Обогащение событий и threat intelligence

Elastic Security поддерживает Threat Intelligence Indicators — загружаем IOC фиды (known malicious IPs, domains, file hashes) и автоматически матчим против входящих событий. После интеграции weфидов количество выявленных инцидентов увеличивается в среднем на 30% за счет сопоставления с внешними базами угроз.

# Загрузка TI feed через Filebeat ThreatIntel модуль
filebeat modules enable threatintel

# filebeat.yml - добавляем TI источники
- module: threatintel
  abuseurl:
    enabled: true
    var.interval: 24h
  misp:
    enabled: true
    var.url: https://misp.internal.example.com
    var.api_key: "${MISP_API_KEY}"
    var.interval: 1h

Отметим: когда source.ip входящего события совпадает с known malicious IP из TI feed — автоматически создаётся alert с контекстом: какой фид, когда добавлен, почему помечен как malicious. Свяжитесь с нами, чтобы настроить интеграцию с вашими источниками TI.

Почему стоит выбрать Fleet для управления агентами?

Elastic Agent с Fleet Server — это централизованное управление политиками для агентов. Один раз настраиваем Fleet Policy: какие данные собирать, какие integration включить, какие detection rules применять. Агенты получают обновления политик автоматически без SSH на каждый сервер. Это снижает операционную нагрузку на 40% по сравнению с ручным управлением битами.

# Установка Elastic Agent с Fleet enrollment
curl -L -O https://artifacts.elastic.co/downloads/beats/elastic-agent/elastic-agent-8.16.1-linux-x86_64.tar.gz
tar xzvf elastic-agent-8.16.1-linux-x86_64.tar.gz
cd elastic-agent-8.16.1-linux-x86_64
./elastic-agent install \
  --fleet-server-es=https://elasticsearch.internal:9200 \
  --fleet-server-service-token=AAEAAWVsYXN0aWMvZm... \
  --fleet-server-es-ca=/etc/ssl/certs/elasticsearch-ca.crt \
  --fleet-server-port=8220

После этого новые агенты enrollment через Fleet UI — без ручной настройки Filebeat, Auditbeat, Packetbeat на каждом хосте. Оцените преимущества централизованного управления — оставьте заявку.

Что входит в настройку SIEM?

Мы предоставляем полный цикл работ:

• Аудит текущей инфраструктуры: источники логов, capacity planning, лицензирование.
• Развертывание Elastic Security с Fleet и настройка интеграций.
• Настройка 50+ detection rules (prebuilt + кастомные под ваши угрозы).
• Интеграция threat intelligence (MISP, AbuseIPDB, AlienVault).
• Документация runbook и обучение команды (2 сессии по 2 часа).
• Пост-релизная поддержка на 30 дней.

Для сравнения, аналогичный объем работ с Wazuh займет на 30% больше времени из-за необходимости ручной настройки парсинга.

Что отличает Elastic Security от конкурентов?

Elastic Security обрабатывает до 50 000 событий в секунду на одном узле, что в 2 раза выше, чем у Wazuh при аналогичной конфигурации. При этом стоимость лицензии Basic позволяет начать с минимальных вложений, а Platinum добавляет ML-аналитику и advanced correlation без смены стека. Splunk требует приобретения отдельной лицензии для SIEM, что увеличивает затраты в 1.5-2 раза при том же объеме данных.

Закажите аудит вашей инфраструктуры и получите план внедрения за 2 дня. Мы подберем архитектуру под ваш масштаб.