Realizando Triagem de Alertas com Elastic SIEM

Visão Geral

A triagem de alertas no Elastic Security é o processo sistemático de revisar, classificar e priorizar alertas de segurança para determinar quais representam ameaças genuínas. O recurso Attack Discovery do Elastic, impulsionado por IA, pode triar centenas de alertas em cadeias de ataque discretas, mas a triagem por analistas qualificados continua sendo essencial. Um fluxo de trabalho de triagem estruturado geralmente leva de 5 a 10 minutos por cluster de alerta, usando as ferramentas integradas do Elastic.

Quando Usar

• Ao realizar avaliações de segurança que envolvem a triagem de alertas com Elastic SIEM.
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados.
• Ao realizar testes ou atividades de auditoria de segurança agendados.
• Ao validar controles de segurança por meio de testes práticos.

Pré-requisitos

• Elastic Security implantado (versão 8.x ou posterior).
• Elastic Agent ou Beats configurados para coleta de dados de endpoint e rede.
• Regras de detecção habilitadas e gerando alertas.
• Conformidade com o Elastic Common Schema (ECS) em todas as fontes de dados.
• Acesso de analista ao aplicativo Kibana Security com privilégios apropriados.

Fluxo de Trabalho de Triagem de Alertas

Etapa 1: Avaliação Inicial do Alerta (2 minutos)

Ao visualizar um alerta no Elastic Security, revise o painel de detalhes do alerta:

Alert Details Panel:
- Rule Name and Description
- Severity and Risk Score
- MITRE ATT&CK Mapping
- Host and User Context
- Process Tree (for endpoint alerts)
- Timeline of related events

Campos Principais para Examinar Primeiro

Etapa 2: Coleta de Contexto (3 minutos)

Consultar Eventos Relacionados com ES|QL

FROM logs-endpoint.events.*
| WHERE host.name == "affected-host" AND @timestamp > NOW() - 1 HOUR
| STATS count = COUNT(*) BY event.category, event.action
| SORT count DESC

Encontrar Toda Atividade de Usuário Suspeito

FROM logs-*
| WHERE user.name == "suspicious-user" AND @timestamp > NOW() - 24 HOURS
| STATS count = COUNT(*), unique_hosts = COUNT_DISTINCT(host.name) BY event.category
| SORT count DESC

Verificar Alertas Relacionados da Mesma Origem

FROM .alerts-security.alerts-default
| WHERE source.ip == "10.0.0.50" AND @timestamp > NOW() - 24 HOURS
| STATS alert_count = COUNT(*) BY kibana.alert.rule.name, kibana.alert.severity
| SORT alert_count DESC

Investigar Movimentação Lateral do Mesmo IP

FROM logs-system.auth-*
| WHERE source.ip == "10.0.0.50" AND event.outcome == "success"
| STATS login_count = COUNT(*), hosts = COUNT_DISTINCT(host.name) BY user.name
| WHERE hosts > 3

Etapa 3: Enriquecimento de Inteligência de Ameaças (2 minutos)

Verifique indicadores contra inteligência de ameaças:

FROM logs-ti_*
| WHERE threat.indicator.ip == "203.0.113.50"
| KEEP threat.indicator.type, threat.indicator.provider, threat.indicator.confidence, threat.feed.name

Verificar Hash de Arquivo Contra Ameaças Conhecidas

FROM logs-endpoint.events.file-*
| WHERE file.hash.sha256 == "abc123..."
| STATS occurrences = COUNT(*) BY host.name, file.path, user.name

Etapa 4: Decisão de Classificação (2 minutos)

Etapa 5: Documentação e Escalonamento (1 minuto)

Para cada alerta triado, documente:

• Decisão de classificação com justificativa.
• Artefatos de evidência examinados.
• Alertas ou investigações relacionadas.
• Próximos passos recomendados.

Regras de Detecção para Triagem

Regras de Detecção Pré-construídas

O Elastic Security inclui mais de 1000 regras de detecção pré-construídas, organizadas por:

• Tática MITRE ATT&CK: Acesso Inicial, Execução, Persistência, etc.
• Plataforma: Windows, Linux, macOS, Nuvem.

…