Elasticsearch_rules

ElasticSearch-Erkennungsversion der SOC-Prime-Watcher-Regeln mit einigen neuen Corelight-Regeln

Bitte beachten Sie, dass einige dieser Regeln an Ihre Umgebung angepasst werden sollten.

Um sie in Elastic zu laden, laden Sie die ndjson-Datei herunter und erweitern Sie den Bereich „Security“ und gehen Sie zu „Alerts“. Klicken Sie auf „Managed Alerts“ und dann auf „Import Rules“ und laden Sie die Datei in Elastic hoch. Dadurch werden zwei neue Tags erstellt: „Zeek“ – diese Regeln funktionieren mit OS Zeek und Corelight – und „Corelight“ – diese funktionieren nur mit Corelight-Daten.