performing-alert-triage-with-elastic-siem

使用 Elastic SIEM 执行告警分类

概述

Elastic Security 中的告警分类是一个系统化流程，用于审查、归类安全告警并确定其优先级，以判断哪些代表真实威胁。Elastic 的 AI 驱动 Attack Discovery 功能可以将数百条告警分类归纳为离散的攻击链，但熟练的分析师分类仍然必不可少。使用 Elastic 内置工具，一个结构化的分类工作流通常每条告警集群需要 5-10 分钟。

何时使用

• 当开展涉及使用 elastic siem 执行告警分类的安全评估时
• 当遵循相关安全事件的事件响应流程时
• 当执行计划内的安全测试或审计活动时
• 当通过实际操作测试验证安全控制措施时

先决条件

• 已部署 Elastic Security（8.x 或更高版本）
• 已配置 Elastic Agent 或 Beats 以收集端点和网络数据
• 已启用检测规则并正在生成告警
• 数据源符合 Elastic Common Schema (ECS)
• 分析师拥有对 Kibana Security 应用的适当访问权限

告警分类工作流

步骤 1：初步告警评估（2 分钟）

在 Elastic Security 中查看告警时，请检查告警详情面板：

Alert Details Panel:
- Rule Name and Description
- Severity and Risk Score
- MITRE ATT&CK Mapping
- Host and User Context
- Process Tree (for endpoint alerts)
- Timeline of related events

应首先检查的关键字段

字段	用途	ECS 字段
规则严重性	初步优先级评估	kibana.alert.severity
风险评分	量化的威胁级别	kibana.alert.risk_score
主机名	受影响的系统	host.name
用户名	受影响的身份	user.name
进程名	正在执行的进程	process.name
源 IP	活动来源	source.ip
目标 IP	活动目标	destination.ip
MITRE 战术	攻击阶段	threat.tactic.name

步骤 2：上下文收集（3 分钟）

使用 ES|QL 查询相关事件

FROM logs-endpoint.events.*
| WHERE host.name == "affected-host" AND @timestamp > NOW() - 1 HOUR
| STATS count = COUNT(*) BY event.category, event.action
| SORT count DESC

查找可疑用户的所有活动

FROM logs-*
| WHERE user.name == "suspicious-user" AND @timestamp > NOW() - 24 HOURS
| STATS count = COUNT(*), unique_hosts = COUNT_DISTINCT(host.name) BY event.category
| SORT count DESC

检查来自同一来源的相关告警

FROM .alerts-security.alerts-default
| WHERE source.ip == "10.0.0.50" AND @timestamp > NOW() - 24 HOURS
| STATS alert_count = COUNT(*) BY kibana.alert.rule.name, kibana.alert.severity
| SORT alert_count DESC

调查来自同一 IP 的横向移动

FROM logs-system.auth-*
| WHERE source.ip == "10.0.0.50" AND event.outcome == "success"
| STATS login_count = COUNT(*), hosts = COUNT_DISTINCT(host.name) BY user.name
| WHERE hosts > 3

步骤 3：威胁情报增强（2 分钟）

对照威胁情报检查指标：

FROM logs-ti_*
| WHERE threat.indicator.ip == "203.0.113.50"
| KEEP threat.indicator.type, threat.indicator.provider, threat.indicator.confidence, threat.feed.name

对照已知威胁检查文件哈希

FROM logs-endpoint.events.file-*
| WHERE file.hash.sha256 == "abc123..."
| STATS occurrences = COUNT(*) BY host.name, file.path, user.name

步骤 4：分类决策（2 分钟）

分类	标准	操作
真阳性	已确认的恶意活动	升级为事件，开始遏制
良性真阳性	符合规则的预期行为	记录在告警备注中，确认
假阳性	规则在良性活动上触发	标记为假阳性，创建调优任务
需要调查	数据不足以判定	分配进行更深入的调查

步骤 5：记录与升级（1 分钟）

对每条已分类的告警，记录：

• 分类决策及理由
• 已检查的证据工件
• 相关告警或调查
• 建议的后续步骤

用于分类的检测规则

预置检测规则

Elastic Security 包含 1000+ 条预置检测规则，按以下方式组织：

• MITRE ATT&CK 战术：初始访问、执行、持久化等
• 平台：Windows、Linux、macOS、云
• 数据源：端点、网络、云、身份

自定义告警关联规则

{
  "name": "Multiple Failed Logins Followed by Success",
  "type": "threshold",
  "query": "event.category:authentication AND event.outcome:failure",
  "threshold": {
    "field": ["source.ip", "user.name"],
    "value": 5,
    "cardinality": [
      {
        "field": "user.name",
        "value": 3
      }
    ]
  },
  "severity": "high",
  "risk_score": 73,
  "threat": [
    {
      "framework": "MITRE ATT&CK",
      "tactic": {
        "id": "TA0006",
        "name": "Credential Access"
      },
      "technique": [
        {
          "id": "T1110",
          "name": "Brute Force"
        }
      ]
    }
  ]
}

AI 辅助分类

Elastic AI Assistant 集成

1. 在 Elastic Security 中打开告警
2. 单击 AI Assistant 面板
3. 使用快捷提示词：
   • “总结此告警” - 获取初步评估
   • “生成 ES|QL 查询以查找相关活动” - 扩大调查范围
   • “推荐的响应操作有哪些？” - 获取剧本指导
   • “这可能是假阳性吗？” - 获取 AI 置信度评估

攻击发现

Elastic 的攻击发现会自动：

• 将相关告警分组为攻击链
• 将告警映射到 MITRE ATT&CK 杀伤链阶段
• 使用 ML 模型过滤误报
• 根据业务影响确定优先级
• 提供攻击的叙述性摘要

分诊优先级矩阵

风险评分	严重性	资产关键性	响应 SLA
90-100	严重	高	15 分钟
70-89	高	高	30 分钟
70-89	高	中	1 小时
50-69	中	任意	4 小时
21-49	低	任意	8 小时
1-20	信息性	任意	24 小时

分诊指标和 KPI

指标	目标	测量
平均分诊时间 (MTTT)	< 10 分钟	从告警创建到分类的时间
误报率	< 30%	误报 / 总告警
升级率	10-20%	升级告警 / 总告警
告警覆盖率	> 80%	每班次分诊告警 / 生成告警
重新分类率	< 5%	更改的分类 / 总分类

参考资料

• Elastic Security - 分诊告警文档
• SOC 分析师使用 Elastic 进行分诊的指南
• Elastic 博客 - AI 和 2025 SIEM 格局
• 使用 Elastic 和 Tines 减少误报