ELK

Критикалық алерттер пайда болғанға дейін жасырын қауіптерді анықтаңыз. Кіріктірілген Threat Hunting функциясы threat intelligence деректерін пайдалана отырып, гипотезалар негізінде іздеуді автоматты түрде орындайды, «тірі» деректер бойынша ES|QL сұрауларын іске қосады және нәтижелерді MITRE ATT&CK матрицасымен автоматты түрде сәйкестендіреді. Сұраныс бойынша іздеу үшін қауіпті қарапайым тілде сипаттау жеткілікті — кіріктірілген AI көмекшісі Elastic Security Labs зерттеушілері әзірлеген тексерілген іздеу сұрауын ұсынады.

Инфрақұрылымды қорғау логтар келіп түскен сәттен басталады. Деректер көзі қосылған кезде Elastic оның түрін автоматты түрде анықтайды, деректер схемасын сәйкестендіреді және Elastic Security Labs әзірлеген әрі қауіпсіздік қауымдастығы ашық репозиторийде тексерген анықтау ережелерін ұсынады. Ережелер бастапқыдан MITRE ATT&CK жүйесімен сәйкестендірілген. Күрделі pipeline инженериясының қажеттілігі жойылады, ал ECS және OCSF сияқты әмбебап деректер схемалары бір анықтау ережесін екі модельде де пайдалануға мүмкіндік береді. OpenTelemetry арқылы деректерді жіберуге нативті қолдау көрсетіледі.

SOC аналитиктері жеке-жеке алерттерді ғана емес, кешенді тергеу нәтижелерін алады. Attack Discovery жеке алерттерді құрылымдалған және басымдықтары белгіленген шабуыл тізбектеріне корреляциялайды. Alert Analysis инциденттерді жіктейді, оларды пайдаланушылар мен хосттар сияқты нысандардың контекстімен және threat intelligence деректерімен толықтырады, осылайша аналитикке хабарлама жіберілгенге дейін шабуылдың толық хронологиясын қалыптастырады. AI қабылдаған әрбір шешім ашық және аудит үшін қолжетімді.

Контексті автоматты түрде толықтыру арқылы жылдам әрі негізделген шешімдер қабылдаңыз. Бапталған playbook-тар мен AI логикалық талдау мүмкіндіктерін пайдаланып, кешенді зерттеулер жүргізіңіз. Elastic Workflows қауіпсіздік деректерінің ішінде нативті түрде орындалады: аналитик әрекетті мақұлдағаннан кейін платформа бір сессия ішінде есептік жазбаларды бұғаттай алады, бұзылған хосттарды оқшаулайды және барлық зардап шеккен жүйелерде зиянды IP мекенжайларын бұғаттайды. Консольдер арасында ауысудың және үшінші тарап SOAR шешімдерін пайдаланудың қажеті жоқ.

Аналитиктер мақсатты іздеуді бастамай тұрып, аномалиялар мен жасырын қауіптерді анықтаңыз. Entity Analytics жүйелер мен пайдаланушылар атрибуттарындағы өзгерістерді, мысалы, жұмыс уақытынан тыс уақытта бұрын белсенді емес есептік жазбаның қайта іске қосылуын үздіксіз бақылайды және оларды автоматты түрде белгілейді. Қауіп скорингі қауіпсіздік контексті өзгерген сайын динамикалық түрде жаңартылады және аномалиялардың ашық түсіндірмесін ұсынады. Watchlists ұйымның сараптамалық білімін қосымша инфрақұрылым шығындарынсыз тәуекелдерді бағалау моделіне тікелей енгізуге мүмкіндік береді.

Senior деңгейіндегі аналитиктің сараптамасы SOC жұмысының әр кезеңінде қолжетімді. Threat hunting, алерттерді талдау, анықтау ережелерін әзірлеу және мінез-құлық аналитикасына арналған арнайы дағдылар Elastic AI Agent құрамына тікелей біріктірілген. Дағдылар жұмыс барысында бір-бірін автоматты түрде шақыра алады және бапталған Workflows арқылы немесе Agent Builder ішінде сұраныс бойынша іске қосылады. AI логикалық талдауының әрбір қадамы толығымен ашық. Оларға Elastic Security ішінде тікелей немесе Model Context Protocol (MCP) қолдайтын кез келген AI құралы арқылы қол жеткізуге болады.

Шикі логтарды физикалық түрде тасымалдамай, бұлтты, жергілікті (on-premise) және оқшауланған (air-gapped) орталарда іздеу, оқиғаларды корреляциялау және threat hunting жүргізіңіз. Кластерлер арасындағы ES|QL сұрау тілі бөлінген инсталляцияларды тиімді қамтиды. Frozen деректері мен ұзақ мерзімді архивтерге бір сұраудың ішінде іздеу жүргізуге болады. Артық трафикті backhaul арқылы жіберудің қажеті жоқ және инфрақұрылымда көрінбейтін аймақтардың пайда болу қаупі жойылады.