Elastic Rule Alert 資安告警｜網路資安異常即時通知

全方位的事件收集

Elastic Rule Alert 可以從各種不同的機器或設備收集事件資訊(Event Log)，其中包括網路設備、伺服器、作業系統、儲存系統、資料庫、應用系統等...。通過這些數量巨大、結構複雜、類型眾多 Log 的集中管理，Elastic Rule Alert 可以全方位監控組織內外部的異常活動。

資料正規化和分類

不同的作業系統或應用程式，所產生的事件內容、格式、欄位名稱都不盡相同，系統或鑑識人員很難在這些原始事件中分析出有用的資訊，Elastic Rule Alert 將集中的所有資料屬性、內容迥異的結構化和非結構化 log，進行資料梳理和整合，轉換為統一格式的資料，並進行高速的全文檢索、彈性的關鍵字搜索功能、過濾、統計、分類等分析工作，使得日誌數據的價值得到最充分的挖掘。

Event Base 的規則分析

Metrics Base 的規則分析

即時追蹤與警示

當特定使用者、應用程式、伺服器或網路設備受到威脅時即可接收通知。

自動回溯偵測機制

當有新的中繼站黑名單加入時，系統會自動比對曾經連到該中繼站黑名單的主機。

快速調查與分析

Elastic Rule Alert 平台儲存的巨量資料(Big Data)中，藉由 Elasticsearch 提供技術支援的後端，最佳化查詢效能對資料進行高速且精準鎖定目標的搜尋，當風險發生時可以進行快速的調查與分析，並且可以發現造成風險的活動已經進行多久以及有誰參與這項活動，用於判斷組織是否還暴露在特定攻擊之中。