Sycope obsługuje REST-based External Destinations, które mogą przesyłać informacje o alertach do zewnętrznych endpointów HTTP. Elasticsearch udostępnia REST API do indeksowania dokumentów JSON, tworząc prostą ścieżkę integracji pomiędzy oboma systemami.
Pozwala to przechowywać wybrane detekcje Sycope w Elasticsearch i przeszukiwać je razem z innymi zdarzeniami i informacjami operacyjnymi, podczas gdy szczegółowa analiza sieciowa i historyczne dane o ruchu pozostają dostępne w Sycope.
Table of Contents
Od alertu Sycope do indexu Elasticsearch
Gdy Sycope generuje alert, External Action może przesłać wybrane informacje do zewnętrznego endpointu REST.
Akcja może zostać wykonana ręcznie z poziomu aktywnego alertu lub przypisana do reguły Sycope, tak aby uruchamiała się automatycznie po spełnieniu skonfigurowanych warunków threshold.
W przypadku Elasticsearch destination może wskazywać endpoint REST wykorzystywany do indeksowania dokumentów. Sycope przesyła informacje o alercie jako JSON payload, który Elasticsearch zapisuje jako dokument w wybranym indexie.
Payload może zawierać pola istotne dla zespołu odbierającego dane, w tym takie informacje jak nazwa alertu, severity, timestamp oraz systemy uczestniczące w wykrytej aktywności.
Po zaindeksowaniu zdarzenia Sycope stają się przeszukiwalne razem z innymi danymi przechowywanymi w Elasticsearch.
Uzupełniające się możliwości, z jasno określonym podziałem ról
Sycope i Elasticsearch pozostają niezależnymi systemami i pełnią różne role w ramach workflow.
Sycope zapewnia:
- Analizę sieci opartą na flow data
- Widoczność komunikacji host-to-host
- Monitoring wydajności sieci
- Wykrywanie anomalii i zagrożeń sieciowych
- Predefiniowane i niestandardowe reguły alertowania
- Historyczne dane o komunikacji sieciowej
- Szczegółowy kontekst sieciowy do dalszej analizy
Elasticsearch zapewnia:
- Przechowywanie i indeksowanie ustrukturyzowanych danych o zdarzeniach
- Wyszukiwanie w dużych zbiorach danych
- Filtrowanie i agregację
- Scentralizowany dostęp do informacji pochodzących z wielu źródeł
- Warstwę danych do dalszej analizy i wizualizacji w ramach Elastic Stack
Sycope pozostaje odpowiedzialne za wykrywanie i analizowanie aktywności sieciowej. Elasticsearch zapewnia dodatkowe miejsce do przechowywania i przeszukiwania wybranych zdarzeń Sycope razem z innymi danymi operacyjnymi.
Detekcje Sycope obok innych zaindeksowanych danych
Integracja jest szczególnie przydatna, gdy Elasticsearch pełni już rolę centralnego repozytorium dla logów, zdarzeń lub innych danych generowanych maszynowo.
Zdarzenia sieciowe we wspólnym zbiorze danych
Alert Sycope może reprezentować podejrzaną komunikację, aktywność skanującą, nietypowe zachowanie sieci, pogorszenie wydajności lub inny warunek zidentyfikowany poprzez analizę flow data.
Po zaindeksowaniu zdarzenia w Elasticsearch można je przeszukiwać razem z informacjami z innych systemów dotyczącymi tych samych hostów, adresów lub tego samego okresu.
Daje to zespołom dostęp do detekcji sieciowej jako kolejnego źródła danych w ramach istniejącego data setu Elasticsearch.
Ustrukturyzowane pola do wyszukiwania i analizy
Informacje z alertu Sycope mogą być przesyłane jako ustrukturyzowany JSON, a nie jako nieustrukturyzowane powiadomienie.
Dzięki temu istotne wartości mogą być przechowywane jako osobne pola i wykorzystywane w Elasticsearch queries, filtrach i agregacjach.
Przykładowo severity alertu, Client IP, Server IP, informacje o regule lub timestamps mogą być przechowywane oddzielnie, w zależności od payloadu skonfigurowanego w Sycope.
Spójna struktura pól ułatwia również tworzenie wyszukiwań lub dalszych wizualizacji opartych na zdarzeniach Sycope.
Kontrola nad tym, które alerty są indeksowane
Integracja nie wymaga przesyłania do Elasticsearch każdego alertu generowanego przez Sycope.
External Actions mogą być przypisywane do wybranych reguł i threshold levels, dzięki czemu zespoły mogą określić, które detekcje powinny być eksportowane.
Pozwala to utrzymywać szczegółowe informacje sieciowe w Sycope, a do Elasticsearch przesyłać wyłącznie zdarzenia istotne dla szerszego workflow analitycznego, logowania lub bezpieczeństwa.
Historyczna analiza zdarzeń
Po zaindeksowaniu alertów Sycope Elasticsearch może przechowywać je zgodnie z własną konfiguracją indexów i data lifecycle obowiązującą w organizacji.
Zapewnia to przeszukiwalną historię wybranych detekcji, którą można porównywać z innymi zaindeksowanymi zdarzeniami.
Szczegółowa historia komunikacji sieciowej pozostaje w Sycope, gdzie analitycy mogą kontynuować analizę, gdy zdarzenie w Elasticsearch wymaga dodatkowego kontekstu ruchu.
Integracja oparta na REST
Integracja wykorzystuje standardowe mechanizmy HTTP dostępne w obu produktach.
Sycope External Destinations obsługują komunikację REST, requesty HTTP POST oraz custom payloads. Dynamic placeholders i wartości z uruchomionych alertów mogą być wstawiane do payloadu podczas wykonywania akcji.
Elasticsearch udostępnia REST API do indeksowania dokumentów JSON. Request skierowany do indexu może utworzyć nowy dokument zawierający pola przekazane w request body.
Docelowy index, struktura dokumentu i metoda uwierzytelniania powinny zostać skonfigurowane zgodnie ze środowiskiem Elasticsearch w organizacji.
Ponieważ publiczne repozytorium Sycope nie udostępnia obecnie dedykowanego template’u Elasticsearch, payload i index mapping powinny zostać zdefiniowane dla konkretnego wdrożenia.
Jak działa integracja
Integracja składa się z trzech głównych elementów.
1. Index Elasticsearch
Index Elasticsearch lub odpowiednia struktura danych jest przygotowywana do odbierania zdarzeń Sycope.
Field mapping może zostać zdefiniowany zgodnie z informacjami o alertach, które powinny być przechowywane, takimi jak timestamps, poziomy severity, adresy IP i atrybuty związane z regułami.
2. External Destination w Sycope
Endpoint REST Elasticsearch jest konfigurowany w Sycope jako External Destination z wykorzystaniem REST Client.
Destination definiuje endpoint HTTP oraz custom JSON payload, który Sycope powinno wysłać po wykonaniu akcji.
Dynamiczne wartości z aktywnego alertu mogą być wstawiane do payloadu, dzięki czemu każdy zaindeksowany dokument zawiera informacje ze zdarzenia, które uruchomiło akcję.
3. Ręczne lub automatyczne przesyłanie zdarzeń
Skonfigurowana akcja REST może zostać wykonana ręcznie z poziomu aktywnego alertu lub przypisana bezpośrednio do reguły Sycope.
W przypadku automatycznego przesyłania wybrane threshold levels określają, kiedy alert powinien zostać wysłany do Elasticsearch.
Po uruchomieniu akcji Sycope przesyła dokument JSON do skonfigurowanego endpointu Elasticsearch, a zdarzenie staje się dostępne do indeksowania i wyszukiwania.
Od detekcji sieciowej do zaindeksowanych danych o zdarzeniu
Rozważmy regułę Sycope, która wykrywa podejrzaną komunikację z udziałem wewnętrznego hosta.
Sycope generuje alert zawierający informacje o zdarzeniu, jego severity oraz systemach uczestniczących w komunikacji. Ponieważ reguła jest skonfigurowana z akcją REST Elasticsearch, wybrane pola są przesyłane jako ustrukturyzowany dokument JSON do zdefiniowanego indexu.
Zdarzenie może następnie być przeszukiwane razem z innymi danymi przechowywanymi w Elasticsearch dla tych samych adresów IP lub tego samego okresu.
Jeśli analiza wymaga informacji o komunikacji przed lub po wystąpieniu alertu, można ją kontynuować w Sycope, wykorzystując historyczny ruch sieciowy i dodatkowy kontekst dostępny na platformie.
Integracja udostępnia więc wybrane detekcje sieciowe w istniejącym środowisku danych Elasticsearch bez próby duplikowania pełnego zbioru flow data Sycope.
Integracja Sycope i Elasticsearch
Integracja oparta na REST zapewnia elastyczny sposób przechowywania wybranych alertów sieciowych i bezpieczeństwa Sycope w Elasticsearch.
Organizacje mogą określić, które alerty są eksportowane, które pola są zachowywane oraz w jaki sposób wynikowe dokumenty są indeksowane, podczas gdy Sycope nadal dostarcza szczegółowych informacji sieciowych wykorzystywanych do dalszej analizy.
Aby omówić integrację alertów Sycope z Twoim środowiskiem Elasticsearch, skontaktuj się z naszym zespołem.
