Elastic SIEM оценивает правила обнаружения по шуму и производительности

Elastic SIEM переоценивает правила обнаружения ежемесячно

Elastic SIEM теперь присваивает теги правилам обнаружения, оценивая их по шуму и производительности. Эти теги обновляются ежемесячно на основе телеметрии реальных развертываний. Ранее 62% из более чем 2100 предустановленных правил не имели тегов. Теперь правила получают метки, такие как Noise: Low, Performance: Fast и Profile: Recommended. Это позволяет пользователям принимать обоснованные решения о том, какие правила активировать в первую очередь.

Оценка правил происходит на основе телеметрии и метрик выполнения

Автоматизированный конвейер раз в месяц анализирует 30-дневный набор телеметрии из развертываний Elastic. Он оценивает каждое предустановленное правило по четырем параметрам: Noise (шум), Performance (производительность), Threat (угроза) и Profile (профиль). Входными данными служат аналитическая телеметрия, включая объем оповещений и плотность срабатываний, а также метрики выполнения, такие как среднее и 95-й процентиль времени выполнения. Учитываются также данные из TOML-файла правила, включая серьезность, возраст, платформу и существующие теги. Для классификации угроз используются эвристики, а в качестве резервного варианта — большие языковые модели (LLM). После автоматической оценки команда Elastic Security Labs Threat Command проверяет предложенные изменения перед их слиянием. Тег Noise оценивает общий объем оповещений, генерируемых правилом за 30 дней. Тег Performance измеряет время выполнения правила в миллисекундах. Тег Threat отражает приоритеты обнаружения, определенные командой Threat Research and Detection Engineering (TRaDE). Тег Profile объединяет серьезность, шум, производительность и охват угроз в единую рекомендацию по конфигурации развертывания.

Профили Recommended и Aggressive помогают выбрать правила

Профиль Recommended требует оценки 7 или выше, с двумя дополнительными условиями: правила с Noise: High становятся Aggressive независимо от оценки, а правила низкой серьезности никогда не получают профиль Recommended. Профиль Aggressive применяется, если правило имеет высокий уровень шума (Noise: High) или если оценка ниже 2, за исключением правил низкой серьезности. Правила, не соответствующие критериям Recommended или Aggressive, остаются без тега Profile. Это позволяет пользователям начинать с Profile: Recommended, которые считаются безопасными для широкого применения. Правила с профилем Aggressive требуют проверки индивидуальных тегов Noise и Performance перед активацией. Правила без тега Profile, но с определенными угрозами, требуют дополнительной оценки. Теги Noise: Unknown следует рассматривать как элемент для наблюдения, а не как причину для отказа, поскольку новым правилам требуется время для накопления данных.

Дополнительные теги и обратная связь улучшают обнаружение

Elastic SIEM также использует дополнительные теги для стандартизации таксономии Elastic XDR/Elastic SIEM. К ним относятся Domain (область видимости), Platform (платформа), Data Source (источник данных), Service (сервис), Vuln (уязвимости, включая CVE) и Resources (ресурсы для расследования). В будущих релизах появятся теги MITRE ATLAS. Планируется улучшение поиска правил по категориям. Обратная связь от пользователей, которые делятся телеметрией, способствует повышению точности тегов. Пользователи могут сообщать о неправильно категоризированных правилах или несоответствующих порогах через Slack Community или форум Discuss.