10 分鐘掌握 Elastic Security 四大功能，端點、雲端安全重點解析！

Elastic Security 曾榮獲 Gartner Peer Insights SIEM 類別的最佳選擇。

本文將帶您快速掌握其四大核心功能：Limitless XDR、SIEM、Endpoint 與 Cloud，深入了解 Elastic 如何建構全方位的資安防禦體系。

什麼是 Elastic Security？

Elastic Security 以 Elastic Stack 的強大功能為基礎，提供「端點安全防護、檢測」並「排除惡意軟體的威脅」。

Limitless XDR 整合 SIEM 及 Endpoint 預防和響應功能，即時導入日誌並預防且排除威脅，實現了安全營運現代化，並支援跨資料分析、自動化關鍵流程以及原生端點安全性。

為什麼要使用 Elastic Security？

Security 團隊長期使用 Elastic Stack 從資料中提取安性見解，使他們能夠快速發展並解決複雜的安全性問題。

Elastic Security 在解決方案中提供 SIEM 威脅檢測功能與端點預防和應對威脅。

這些分析和保護功能，利用 Elasticsearch 的速度和可擴展性的優勢，讓分析人員能夠在損害發生前保護組織免受威脅。

此外，Elasticsearch 現已全面整合 向量資料庫（Vector Database）能力，支援高維度的向量搜尋，可以透過語義分析更精準地識別變體惡意程式與異常行為，大幅提升 AI 驅動的資安防禦效率。

Elastic Security 提供以下安全優勢和功能：

• 用於識別攻擊和系統錯誤配置的檢測引擎
• 用於事件分類和調查的工作區
• 交互式視覺化，調查流程關係
• 具有自動化操作的內建案例管理
• 使用內建的機器學習異常工作和檢測規則，偵測非特徵碼攻擊

在了解上述基本概念後，以下段落將為您介紹 Elastic Security 的四大面向：Limitless XDR、SIEM、Endpoint、Cloud 的詳細說明與優勢。

Elastic Security 詳細解密

功能一：Limitless XDR

Extended（擴展）、Detection（監測）、Response（即時回應）
Limitless XDR 整合了 SIEM 和 Endpoint Security 的解決方案，能夠幫助客戶對所有資料進行分析，自動執行關鍵流程，並將原生的 Endpoint Security 引入每台主機。

1. 使用 SIEM 和安全分析進行深度防禦：
   SIEM 是 Limitless XDR 解決方案的支柱，可以在「任何資料集」上「大規模」地支援安全分析，並在攻擊面中進行檢測和響應。
2. 在每個端點上預防、收集和響應：
   透過預執行進階預防和檢測，針對進階威脅的多層運行時進行防護，使用者可以在任何操作系統上調用遠端響應的操作（如主機隔離）以簡化響應。

在 XDR 的新興市場中，Elastic 的獨特在於解決方案是無限的 (limitless)

• Limitless Visibility
  透過一個 Agent 就能添加不同的方案及導入日誌到 Elastic 。
• Limitless Data
  客戶可以利用 Frozen storage data 儲存以年計算的歷史數據、威脅情報、報告等，將盲點減到最低。
• Limitless Prevention and Detection
  客戶亦可以建立適合自己環境的檢測規則、使用 Adaptive ML 模型監測威脅並降低告警疲勞、掃描並匹配檔案中的威脅情報，以找出新的漏洞攻擊標記。
• Limitless Analysis
  Security Analyst 亦可以使用靈活的 UI、內建案例管理和一系列新興的外部自動化功能，快速做出響應。
• Limitless Value
  Elastic Security 不會按 Agent 數目或資料量來收費。如果用戶已經訂閱 Elastic Stack，更新後即可使用新版本的功能。

功能二：SIEM

SIEM（Security Information and Event Management）能在雲端上利用任何資料源偵測、調查和回應不斷變化的威脅，並在主機層擁有更完善的管理。

它主要結合了SIM（security information management）和 SEM（security event management）從而減少平均檢測時間（MTTD）和平均響應時間（MTTR），為安全團隊提供可見性、威脅獵捕、自動檢測和安全運營中心（SOC）工作流。

在現代安全使用案例下，透過免費且開源的 Elastic Security 提高營運成熟度並加速擴展。

企業可以利用以下主要功能幫助分析師消除盲點：

• 可顯示 SOC 狀態和安全狀況的概覽頁面
• 有助於威脅獵捕和情境感知的儀表板
• 整合 Elastic Maps、Elastic Lens 和 Kibana 其他功能
• 自動化檢測引擎
• 分析師將擁有專用調查模板的特定時間線調查器

用戶可以透過 Elastic Security 監控主機和網路的資料，快速訪問幾乎任何領域的趨勢圖，使用機器學習和實體分析，評估風險並發現潛在的安全危脅。

在處理海量日誌時，Elastic 的向量搜尋技術可將非結構化資料轉化為向量進行比對，幫助分析師在幾秒鐘內找出隱藏在千萬筆資料中的相似攻擊特徵。

以下為 SIEM 的優勢：

以速度取勝

體驗 schema-on-write 的速度和 schema-on-read 的靈活性。

大規模運行

在 S3 等低成本物件儲存資料庫中保留的多年資料進行搜尋和偵查，並以 petabyte 處理資安資料，將您的搜尋帶入資料以進行全面分析。

收集時也保護資料

透過 osquery 收集主機資料並阻止惡意程式和勒索軟體。

資訊安全分析

透過預先建構的資料整合，在攻擊面中實現安全分析。

建立全面概觀

使用 Elastic Common Schema (ECS) 實現統一分析來自數位網域內外的資訊。

環境分析

使用儀表板監控資料，並快速訪問幾乎任何領域的趨勢圖。

高保真（high-fidelity）規則自動檢測

分析攻擊者的行為，評估風險和嚴重度，對潛在威脅進行相對應的優先排序。這些檢測結果與 MITRE ATT&CK® 保持一致，定期更新並公開分享。

使用機器學習和實體 (entity) 分析評估風險

透過由預先建構的 ML 作業提供支援偵測異常，預防未知威脅。

簡化調查、自動回應

檢查主機並在分散式端點上立即採取行動，並且透過 SOAR（資安協作自動化回應）和 ticketing 工作流程的整合保持動力。

推薦閲讀：舊 SIEM 太慢？AI 助攻輕鬆搬家到 Elastic Security

功能三：Endpoint Security

Elastic Endpoint Security 能提前為您阻止惡意攻擊，並預防威脅，優化檢測與回。

藉由推動集中搜尋和高精確性的檢測，同時保護您的端點安全與強化 XDR，讓您隨時可以擴展與升級。

以下為  Endpoint Security 的優勢：

保護您的端點，強化 XDR

阻止惡意軟體、勒索軟體和高級威脅，在整個生態系統中統一預防、檢測和回應。

• 阻止複雜的攻擊
• 高精確性告警
• 大規模回應

全面剷除威脅

透過非特徵碼預防、行為分析、集中檢測和快速而廣泛的回應來避免威脅。

• 深入預防

保護您的 Windows、macOS 和 Linux 端點，在資料加密之前防止惡意軟體執行並阻止勒索軟體。

• 增強 SecOps 的能見性

使用 kernel-level 資料收集和專用儀表板監控您的環境，並使用 osquery 探測主機以收集更多內容。

• 高精確性偵測

透過持續將主機活動與其他環境資料相連，生成有效的吿警，從預建立的機器學習作業發現的異常開始尋找。

• 快速回應

分析師透過來自終端的詳細資料進行基於主機活動的交互式視覺化檢查，進而觸發遠端回應操作，將回應工作流程與第三方協作和 ticketing 工具串連起來。

簡化您的 security stack 並升級您的 security program

• 無限多功：一個 agent，多個用例
• 無限資料：無論多久的攻擊，皆能分析
• 無限部署：隨處皆可使用
• 無限價值：自由且開源的軟體授權

功能四：Cloud Security

Cloud Security 致力於資訊安全與隱私，包括對原生雲威脅的檢測以及對原生雲基礎設施的安全措施，旨在保護客戶的資料叢集免受未經授權的存取、修改或刪除。

此外，Elastic 仔細審查第三方供應商的同時確保強大的實體安全性控制，藉由內建邏輯安全控制，實施存取控制和日誌紀錄、提供資料可用性，並且遵循 GDPR 和 SOC 2 的營運規則進行全方位漏洞管理，保護您的帳戶。

持續的原生雲安全

原生雲安全的核心是確保根據您定義的策略建立和維護所有環境。

這種配置和變更管理在雲端計算中至關重要。

無論是企業建立的訂製策略，還是一組定義的策略（例如 CIS 基準），或兩者的組合，功能強大的雲端安全產品都需要提供一種簡單的方法來強制遵守這些策略。

這是 build.security 擅長的領域，也是我們將共同擴展的重點。

獨步領先的雲端搜尋平台

Elastic Cloud search 支援的解決方案在 Elastic 建立的現代、靈活、可擴展、服務導向的架構上實施。

Elastic 使用其核心的 Elastic Cloud Enterprise 架構來管理這些產品。

內建邏輯與安全性控制

• Elastic Cloud 搜尋驅動的解決方案被託管在經認證的雲端平台上，由基礎架構即服務供應商龍頭廠商管理，包括 Amazon Web Services (AWS)、Google Cloud 和 Microsoft Azure。
• Elastic Cloud 叢集配備了輪換密碼的 Elastic 安全功能。
• API 存取存取僅限於 Elasticsearch API，不允許遠端存取存取 Linux 級別的實例或容器，容器無法與來自另一個叢集的容器建立通訊。

閱讀完此文，希望您對 Elastic Security 有更深入的了解。

了解 Elastic 相關資訊：Elastic 介紹

想了解更多 Elastic Security 資訊嗎？

歡迎加入歐立威 LINE 好友，掌握第一手消息！