security-detection-rule-management은(는) 무엇을 하나요?
Elastic Security 탐지 규칙 (SIEM 및 엔드포인트)을 생성, 조정 및 관리합니다. Kibana API를 통해 오탐지, 예외 처리, 새로운 커버리지, 노이즈 규칙 또는 규칙 관리에 사용합니다.
주요 기능
- 규칙 관리: 규칙 생성, 업데이트, 삭제, 활성화/비활성화
- 예외 처리: 오탐지를 줄이기 위한 예외 조건 추가 및 관리
- 튜닝: 노이즈 규칙 식별 및 임계값 조정
- 커버리지: 새로운 위협 탐지를 위한 규칙 추가
- 상태 모니터링: 규칙 실행 상태 및 경고 확인
지원 플랫폼
- Kibana (Elastic Security)
- Elastic Cloud
- Elasticsearch API
사용 방법
- Kibana API를 통해 Elastic Security에 연결합니다.
- 관리하려는 규칙을 조회하거나 새로운 규칙을 생성합니다.
- 필요에 따라 규칙을 수정, 예외 추가, 활성화/비활성화합니다.
환경 변수
ELASTICSEARCH_URL: Elasticsearch 엔드포인트KIBANA_URL: Kibana 엔드포인트API_KEY: 인증을 위한 API 키
예제
# 규칙 목록 조회
curl -X GET "${KIBANA_URL}/api/detection_engine/rules" -H "kbn-xsrf: true" -H "Authorization: ApiKey ${API_KEY}"
# 새로운 규칙 생성
curl -X POST "${KIBANA_URL}/api/detection_engine/rules" -H "kbn-xsrf: true" -H "Authorization: ApiKey ${API_KEY}" -H "Content-Type: application/json" -d '{
"rule_id": "example-rule-1",
"name": "Example Detection Rule",
"type": "query",
"query": "process.name: malicious.exe",
"severity": "high"
}'
참고 사항
- 규칙 변경 시 Kibana API 버전 호환성을 확인하세요.
- 예외 처리는 규칙 성능에 영향을 줄 수 있으므로 신중하게 사용하세요.
- 대규모 환경에서는 규칙 배포 전 테스트를 권장합니다.