Elastic Security (ELK) — الدليل الكامل

تُعد منظومة Elastic Security (المعروفة سابقاً بتطبيق SIEM ضمن حزمة ELK) تطويراً مبنياً على Elasticsearch و Kibana للبحث في السجلات، وبناء لوحات البيانات (Dashboards)، وقواعد الاكتشاف (Detection Rules). تجمع المنظومة بين أدوات Logstash و Beats و Fleet ووكيل الحماية (Endpoint Security agent) في منصة واحدة متكاملة. تتوفر المنظمة بنسخ مجانية ومدفوعة (Platinum / Enterprise).

مكونات الحزمة (Stack Components)

[ Beats / Elastic Agent / Fleet / Logstash ]  →  [ Elasticsearch ]  →  [ Kibana ]
                  │
                  └── Endpoint Security (EDR)

التثبيت (مختبر أحادي العقدة - Single-node Lab)

بالنسبة لبيئات الإنتاج: يتم التثبيت عبر مدير الحزم أو Helm، ويستخدم Fleet لإدارة الوكلاء.

استيعاب السجلات (Onboarding Logs)

هناك مساران رئيسيان:

1. Elastic Agent + Fleet (الموصى به): وكيل واحد مع تفعيل التكاملات (Integrations) عبر واجهة Fleet. كل تكامل يتضمن أنابيب معالجة مسبقة.
2. Beats: الطريقة التقليدية. أخف وزناً، ولكن تتطلب إدارة الإعدادات يدوياً.

قواعد الاكتشاف (Detection Rules)

توجد في Kibana ← Security ← Rules. تدعم المنظومة عدة محركات:

توفر Elastic حوالي 1000 قاعدة اكتشاف مبنية مسبقاً — يمكن تفعيلها حسب الحاجة.

event.category : process and process.name : ("powershell.exe" or "pwsh.exe") and
process.command_line : (*-enc* or *-encodedcommand* or *FromBase64String*) and
not process.parent.name : ("ConfigurationManager.exe" or "WindowsAzureGuestAgent.exe")

EQL — ربط الأحداث (Event Correlation)

sequence by host.id, user.name with maxspan=5m
[process where event.action == "creation" and process.name == "powershell.exe"]
[process where event.action == "creation" and process.parent.name == "powershell.exe"
     and process.name in ("net.exe","whoami.exe","ipconfig.exe")]

هذا التسلسل يرصد تشغيل PowerShell متبوعاً بأدوات الاستطلاع (Recon) خلال 5 دقائق — وهو نمط كلاسيكي لمرحلة ما بعد الاختراق (Post-foothold).

الجداول الزمنية (Timelines)

عند الضغط على أي تنبيه ← Timeline ← قم بسحب الأحداث ذات الصلة ← إضافة ملاحظات. يتم حفظها كتحقيق مستمر (Investigation).

القضايا و SOAR (Cases & SOAR)

• نظام Cases مدمج لتتبع الحوادث.
• روابط اتصال (Connectors) مع ServiceNow, Jira, Slack, PagerDuty.
• مساعد Elastic الذكي (مدفوع) لصياغة ملخصات القضايا.

ECS — مخطط Elastic المشترك (Elastic Common Schema)

تتم نمذجة كافة الحقول وفقاً لـ ECS (مثل event.action, host.name, source.ip). بفضل ECS، تصبح قواعد الاكتشاف قابلة للنقل عبر مصادر السجلات المختلفة — يمكنك الانتقال بين Sysmon و auditd و AWS CloudTrail بنفس الاستعلام.

سير العمل (Workflows)

إرسال سجلات Sysmon

الآن سيعمل استعلام KQL مثل: event.code : 1 and process.name : "powershell.exe".

الربط بين AWS + Okta + الأجهزة الطرفية

event.dataset : (okta.system or aws.cloudtrail or endpoint.events.process)
and user.name : "alice"
| sort @timestamp asc

قاعدة مخصصة لاكتشاف تثبيت الخدمات المشبوهة

إنشاء قاعدة (Custom Query) باستخدام:

event.code : 7045 and winlog.event_data.ServiceFileName : (*\\Users\\* or *\\AppData\\* or *.bat or *.cmd or *.ps1)

الخطورة: مرتفعة. المخاطر: 75. التنبيهات: Slack.

استكشاف الأخطاء وإصلاحها (Troubleshooting)

منظور المدافع (Defender's Perspective)

تعتبر Elastic Security المنصة الأكثر مرونة بين حلول SIEM مفتوحة المصدر. نقاط القوة: مجانية للاستخدام الأساسي؛ تجربة استعلام ممتازة (KQL/EQL)؛ و ECS يجعل الاكتشاف عبر المصادر منطقياً.

تنبيه حول استهلاك الموارد: محركات الفهرسة في ES تستهلك الذاكرة العشوائية (RAM) بكثافة. بيئة تضم 200 جهاز تتطلب على الأقل 32 جيجابايت RAM للطبقة السريعة (Hot tier).

أمن العمليات - للمدافعين (OPSEC)

• عقد ES تحتوي على كافة بياناتك الأمنية — يجب تأمينها عبر تشفير النسخ الاحتياطية (Snapshots).
• مفاتيح واجهة البرمجة (API keys) يجب أن تمنح صلاحيات monitor / read فقط للمحللين؛ وصلاحية superuser يجب أن تكون محدودة للغاية.
• رموز انضمام Fleet قد تسرب بيانات المصادقة؛ يجب تدويرها (Rotate) بانتظام.

أدوات ذات صلة