Elastic SIEM оценивает правила детектирования по шуму и скорости

Правила детектирования Elastic SIEM получают новые теги

Elastic Security Labs обновила систему тегирования для своих правил детектирования в Elastic SIEM. Теперь каждое правило получает метки, отражающие его поведение в реальных условиях эксплуатации. Система анализирует данные телеметрии за последние 30 дней для расчета показателей шума, производительности, профиля и угроз. Обновление происходит ежемесячно.

Автоматизированная оценка правил детектирования

Процесс оценки правил детектирования в Elastic SIEM автоматизирован. Ежемесячно конвейер обрабатывает 30-дневный набор телеметрических данных из развертываний Elastic. Он оценивает каждое правило по четырем параметрам: шум (Noise), производительность (Performance), угроза (Threat) и профиль (Profile). Входными данными служат аналитическая телеметрия, метрики выполнения и конфигурационные файлы правил (TOML). Для классификации угроз используются эвристики, а в качестве резервного механизма — большие языковые модели (LLM). Результаты оценки направляются команде Elastic Security Labs Threat Command для финального утверждения перед слиянием в репозиторий elastic/detection-rules.

Метка "Noise" оценивает объем генерируемых правилом оповещений. Правила классифицируются как "Noise: Low", "Noise: Medium", "Noise: High" или "Noise: Unknown". "Performance" измеряет время выполнения правил в миллисекундах. Категории включают "Performance: Fast", "Performance: Normal", "Performance: Slow" и "Performance: Very Slow". Метка "Threat" указывает на приоритетные области угроз, определяемые командой Threat Research and Detection Engineering (TRaDE). "Profile" является сводной оценкой, синтезирующей все параметры для рекомендации по развертыванию. Правила с "Profile: Recommended" считаются безопасными для широкого внедрения. "Profile: Aggressive" требует дополнительной проверки индивидуальных тегов "Noise" и "Performance". Правила без тега "Profile" требуют более детальной оценки в зависимости от специфики окружения.

Приоритезация внедрения правил детектирования

Новая система тегирования помогает пользователям Elastic SIEM принимать обоснованные решения о внедрении правил детектирования. Рекомендуется начинать с правил, помеченных как "Profile: Recommended". Эти правила обладают достаточным качеством сигнала и низкими операционными затратами. Правила с меткой "Profile: Aggressive" требуют внимательного изучения индивидуальных тегов "Noise" и "Performance" перед активацией. Они могут быть полезны при наличии определенных компромиссов, например, "Noise: High" в сочетании с "Performance: Fast". Правила, не имеющие тега "Profile", относятся к средней категории и требуют оценки с учетом специфики конкретной среды. Правила с меткой "Noise: Unknown" следует рассматривать как объекты для наблюдения, которым необходимо время для накопления сигналов в системе. В дополнение к основным тегам, Elastic SIEM использует дополнительные метки, такие как "Domain", "Platform", "Data Source", "Service", "Vuln" (включая CVE) и "Resources". В будущем планируется интеграция тегов MITRE ATLAS наряду с MITRE ATT&CK. Пользователи могут внести свой вклад в улучшение точности тегов, делясь телеметрией и предоставляя обратную связь через сообщество Slack или форум Discuss.

Источник: Elastic Security Labs