엘라스틱 Security 룰 설정 가이드

개요

EQL은 보안 탐지·헌팅용으로 설계됐습니다. 이벤트의 순서를 다룰 수 있다는 것이 핵심입니다.
KQL만으로는 순서를 표현할 방법이 없고, 2단계 이상 상관 탐지는 Threshold의 ‘cardinality×시간’ 방식으로 우회해야 합니다.
KQL은 *pattern* 와일드카드나 : " 검색 정도만 지원해 JSON 서브필드 안까지 가시성 확보가 번거로운 반면, EQL은 함수 호출 한 줄이면 끝납니다.

Threshold 유형은 특정 임계치를 넘으면 경보를 발생시키는 룰입니다.
Count는 고유값의 카디널리티를 집계하는 기능입니다.
위의 룰은 해당 그룹이 두 조건을 모두 만족하면 알림을 1건 생성합니다.
- 전체 이벤트 수 10000건 이상
- 고유 source.ip 수 200개 이상

Function
- 어떤 통계 함수로 이상치를 찾을지 설정합니다.
- count, sum, mean, max, rare, time_of_week 등 50여 개 함수가 있습니다.
Field
- 함수가 값을 읽어 올 대상 필드입니다.
- sum, mean, max 등 metric 계열은 숫자 필드가 필요합니다.
By field
- 개체(entity)별 ‘자기 과거’와 비교합니다.
- 동일 필드 값을 가진 레코드를 묶어, 각 개체의 히스토리 기반 모델을 생성합니다.
Over field
- 전체(population) 평균과 비교합니다.
- 선택한 필드 값을 ‘모집단’으로 보고, 각 모집단 평균에서 벗어나는지를 평가합니다.
Partition field
- 완전히 독립적인 서브‑모델로 분리합니다.
- 값마다 개별 베이스라인을 갖추고 서로 영향받지 않습니다.
Exclude frequent
- 모델이 너무 자주 등장하는 값 때문에 ‘항상 정상’으로 판단하는 현상을 방지합니다.
- none | all | by | over 중 어느 축에서 제외할지 선택할 수 있습니다.

구성 순서

관심 지표를 먼저 정합니다 → 적합한 Function + Field 선택.
Anomaly를 누구 기준으로 볼지에 따라 by/over/partition 중 하나 또는 조합을 지정합니다.
- 단일 엔티티 이상: by user.name
- 집단 대비 이상: over host.name
- 둘 다 필요할 때: high_count by process.name over host.name
잦은 노이즈가 문제라면 exclude_frequent로 필터링을 시험합니다.

예제

high_count by user.name over host.name
- 같은 user.name이 다른 host.name에서 기록한 건수들의 typical과 비교합니다.
- 같은 host.name에서 다른 user.name이 기록한 건수들의 typical과 비교하는 것이 아닙니다.
  - 이는 high_count over user.name partition_field_name=host.name으로 표현할 수 있습니다.
over 부분을 비교하는 셈입니다.
이와 관련하여 자세한 내용은 아래 링크를 참고하세요.
- https://www.elastic.co/blog/temporal-vs-population-analysis-in-elastic-machine-learning
- https://www.elastic.co/docs/reference/data-analysis/machine-learning/ml-count-functions

Page updated

Report abuse