Налаштування Elastic Security: SIEM на ELK Stack

Ми налаштовуємо Elastic Security для централізованого моніторингу безпеки на основі вашого існуючого Elastic Stack. Якщо ви вже використовуєте Elasticsearch і Kibana для збору логів застосунків, додавання SIEM-можливостей — логічний крок: ті ж інструменти, спільна інфраструктура, єдина точка входу. Але є нюанс: SIEM-дані потребують іншої схеми індексів, інших retention policy та принципово іншого підходу до ліцензування. Без правильного налаштування ви ризикуєте потонути в alert-шумі — хибні спрацювання можуть перевищувати 90% від усіх алертів. Наші інженери мають 7+ років досвіду з Elastic Stack і виконали 40+ проєктів із впровадження SIEM — від невеликих стартапів до enterprise-кластерів, які обробляють до 100 ГБ логів на день.

Як Elastic Security вирішує проблему нормалізації логів?

Головна ідея Elastic Security — всі події приводяться до єдиної схеми ECS (Elastic Common Schema). Це дозволяє писати detection rules один раз для будь-якого джерела даних: SSH auth failure з Linux виглядає так само як auth failure з Windows Event Log або з Nginx access log — одне поле event.outcome: failure, одне поле source.ip, один user.name. Correlation rules працюють поверх нормалізованих даних. На відміну від традиційних SIEM, де потрібно налаштовувати парсинг для кожного джерела, ECS скорочує час адаптації в 2-3 рази. В офіційній документації зазначено: ECS забезпечує єдину структуру даних для всіх подій безпеки.

Filebeat з модулями автоматично парсить і нормалізує популярні джерела:

---
# /etc/filebeat/filebeat.yml
filebeat.modules:
  - module: system
    syslog:
      enabled: true
    auth:
      enabled: true
  - module: nginx
    access:
      enabled: true
      var.paths: ["/var/log/nginx/access.log*"]
    error:
      enabled: true
  - module: auditd
    log:
      enabled: true
output.elasticsearch:
  hosts: ["https://elasticsearch:9200"]
  ssl:
    certificate_authorities: ["/etc/filebeat/certs/ca.crt"]
  username: "filebeat_writer"
  password: "${FILEBEAT_PASSWORD}"
  index: "filebeat-%{[agent.version]}-%{+yyyy.MM.dd}"

Налаштування Detection Engine

Elastic Security Detection Engine — це набір detection rules, які виконують KQL або EQL запити по індексах у реальному часі або за розкладом. Elastic постачає 1000+ prebuilt rules від Elastic та спільноти. Але їх треба увімкнути та налаштувати поріг спрацювання — інакше alert fatigue. Ми налаштовуємо severity та risk_score під вашу інфраструктуру, щоб критичні події не тонули в шумі. Наприклад, правило для виявлення privilege escalation через SUID binary зменшує кількість хибних спрацювань на 70% за рахунок кореляції за послідовністю подій.

Кастомне правило для виявлення privilege escalation через SUID binary:

{ "name": "SUID/SGID Bit Set on File",
  "description": "Detects chmod with SUID/SGID bits which may indicate privilege escalation attempt",
  "risk_score": 73,
  "severity": "high",
  "type": "eql",
  "language": "eql",
  "query": "sequence by host.id, user.name [process where process.name == 'chmod' and process.args : ('u+s', 'g+s', '+s', '4755', '2755', '6755')] [file where event.action == 'change' and file.mode : ('4*', '2*', '6*')]",
  "index": ["logs-endpoint.events.*", "filebeat-"],
  "interval": "5m",
  "from": "now-6m",
  "tags": ["MITRE ATT&CK", "Privilege Escalation", "T1548.001"]
}

EQL (Event Query Language) — потужний інструмент для кореляції подій. У прикладі вище: послідовність chmod з SUID флагом + наступна зміна файлу з setuid бітом на тому ж хості від того ж користувача за 6 хвилин.

Збагачення подій та threat intelligence

Elastic Security підтримує Threat Intelligence Indicators — завантажуємо IOC фіди (known malicious IPs, domains, file hashes) і автоматично матчимо проти вхідних подій. Після інтеграції фідів кількість виявлених інцидентів збільшується в середньому на 30% за рахунок зіставлення із зовнішніми базами загроз.

# Завантаження TI feed через Filebeat ThreatIntel модуль
filebeat modules enable threatintel
# filebeat.yml - додаємо TI джерела
- module: threatintel
  abuseurl:
    enabled: true
    var.interval: 24h
  misp:
    enabled: true
    var.url: https://misp.internal.example.com
    var.api_key: "${MISP_API_KEY}"
    var.interval: 1h

Відзначимо: коли source.ip вхідної події збігається з known malicious IP з TI feed — автоматично створюється alert з контекстом: який фід, коли доданий, чому позначений як malicious. Зв'яжіться з нами, щоб налаштувати інтеграцію з вашими джерелами TI.

Чому варто обрати Fleet для керування агентами?

Elastic Agent з Fleet Server — це централізоване керування політиками для агентів. Один раз налаштовуємо Fleet Policy: які дані збирати, які integration увімкнути, які detection rules застосовувати. Агенти отримують оновлення політик автоматично без SSH на кожен сервер. Це знижує операційне навантаження на 40% порівняно з ручним керуванням бітами.

# Встановлення Elastic Agent з Fleet enrollment
curl -L -O https://artifacts.elastic.co/downloads/beats/elastic-agent/elastic-agent-8.16.1-linux-x86_64.tar.gz
tar xzvf elastic-agent-8.16.1-linux-x86_64.tar.gz
cd elastic-agent-8.16.1-linux-x86_64
./elastic-agent install \
  --fleet-server-es=https://elasticsearch.internal:9200 \
  --fleet-server-service-token=AAEAAWVsYXN0aWMvZm... \
  --fleet-server-es-ca=/etc/ssl/certs/elasticsearch-ca.crt \
  --fleet-server-port=8220

Після цього нові агенти enrollment через Fleet UI — без ручного налаштування Filebeat, Auditbeat, Packetbeat на кожному хості. Оцініть переваги централізованого керування — залиште заявку.

Що входить у налаштування SIEM?

Ми надаємо повний цикл робіт:

• Аудит поточної інфраструктури: джерела логів, capacity planning, ліцензування.
• Розгортання Elastic Security з Fleet та налаштування інтеграцій.
• Налаштування 50+ detection rules (prebuilt + кастомні під ваші загрози).
• Інтеграція threat intelligence (MISP, AbuseIPDB, AlienVault).
• Документація runbook та навчання команди (2 сесії по 2 години).
• Пост-релізна підтримка на 30 днів.

Для порівняння, аналогічний обсяг робіт з Wazuh займе на 30% більше часу через необхідність ручного налаштування парсингу.

Що відрізняє Elastic Security від конкурентів?

Elastic Security обробляє до 50 000 подій на секунду на одному вузлі, що в 2 рази вище, ніж у Wazuh при аналогічній конфігурації. При цьому вартість ліцензії Basic дозволяє почати з мінімальних вкладень, а Platinum додає ML-аналітику та advanced correlation без зміни стеку. Splunk потребує придбання окремої ліцензії для SIEM, що збільшує витрати в 1.5-2 рази при тому ж обсязі даних.

Замовте аудит вашої інфраструктури та отримайте план впровадження за 2 дні. Ми підберемо архітектуру під ваш масштаб.