Elastic SIEM
forensicsDéfinition
Composant Elastic Security offrant détection des menaces, corrélation d'événements et visualisation forensique intégrés dans Elasticsearch/Kibana avec des règles de détection MITRE.
Description
Elastic SIEM (désormais Elastic Security) est la solution de détection et d'investigation intégrée dans la suite Elastic Stack (Elasticsearch, Logstash, Kibana). Elle offre la corrélation d'événements, la détection basée sur des règles MITRE ATT&CK et des capacités d'investigation forensique via l'interface Kibana.
Usage forensique
Ingestion de logs Windows (Winlogbeat), réseau (Packetbeat), endpoints (Elastic Agent avec Defend) et sources cloud. Les timelines forensiques KQL permettent de reconstituer la chaîne d'attaque autour d'un IoC.
Points clés
- Detection Engine avec règles EQL (Event Query Language) pour les comportements d'attaquants
- Session View : reconstruction graphique des arbres de processus pour les investigations
- Intégration native avec osquery pour la collecte forensique ad-hoc sur les endpoints
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis