Elastic Workflows

Mit den neuen Elastic Workflows wurde ein weiterer wichtiger Schritt in Richtung Automatisierung, Eigenständigkeit und Unabhängigkeit innerhalb des Elastic-Stacks vollzogen. Automatisierung ist seit Langem ein zentrales Thema, sowohl bei Elastic selbst, als auch im gesamten Umfeld von Observability und Security.

Im Security-Kontext fällt dies häufig unter den Begriff SOAR (Security Orchestration, Automation and Response). Bisher bot Elastic hier nur begrenzte In-Stack-Möglichkeiten, um mehrere automatisierte Aktionen ohne den Einsatz externer Tools umzusetzen. Mit den in Elastic 9.3.0 in Preview eingeführten Workflows wurde nun ein bedeutender Schritt in diese Richtung gemacht.

Doch zunächst stellt sich die grundlegende Frage:

Was sind Workflows?

Workflows beschreiben eine konfigurierbare Abfolge von Aktionen, die anhand eines definierten Triggers ausgeführt werden. Sie ermöglichen es, Prozesse strukturiert und reproduzierbar abzubilden.

Ein Workflow kann sowohl automatisch (z. B. beim Auftreten eines bestimmten Ereignisses) als auch manuell gestartet werden. Dadurch lassen sich wiederkehrende Abläufe standardisieren und effizient umsetzen. Ein vergleichbares Feature ist der Agent Builder. Dieser setzt jedoch stark auf KI und bietet nur eingeschränkte Möglichkeiten zur Integration externer Dienste.

Wofür sind Workflows geeignet?

Workflows ermöglichen die sequenzielle Ausführung mehrerer Aktionen und damit die Automatisierung komplexer Abläufe.

Typische Anwendungsfälle sind das automatische Anreichern von Cases mit relevanten Informationen, Ausführen von Befehlen auf Endpoints, Senden von HTTP-Requests (z. B. POST), automatisches Sammeln von Informationen aus verschiedenen Datenquellen sowie die Integration und Steuerung externer Systeme über APIs.

Damit tragen Workflows wesentlich dazu bei, manuelle Arbeitsschritte zu reduzieren und Prozesse effizienter zu gestalten. Dieser Beitrag soll keine Schritt-für-Schritt-Anleitung zur Einrichtung darstellen, sondern einen Überblick über die Möglichkeiten und Einsatzszenarien geben. Dennoch lohnt sich ein kurzer Blick auf die Funktionsweise.

Wie funktionieren Workflows?

Workflows sind direkt in die Kibana-Oberfläche integriert und werden dort über sogenannte Playbooks definiert. Diese werden im YAML-Format erstellt und enthalten sowohl den Trigger als auch die einzelnen Verarbeitungsschritte.

Zunächst wird eine Trigger-Bedingung definiert, die den Workflow startet. Anschließend werden die einzelnen Schritte festgelegt, die sequenziell abgearbeitet werden. Je nach Anwendungsfall kann ein Workflow zusätzlich mit einem Trigger-Objekt wie beispielsweise einer Detection Rule verknüpft werden.

Mögliche interessante Anwendungsfälle

Die bisherigen Möglichkeiten zur automatisierten Interaktion mit Elastic Defend waren auf Funktionen wie Kill Process, Isolate Host oder Suspend Process beschränkt. Damit konnten zwar akute Probleme adressiert werden, komplexere Automatisierungen waren jedoch nicht möglich. Für weitergehende Eingriffe stand die Response Console zur Verfügung, die jedoch ausschließlich manuell genutzt werden konnte.

Mit Workflows besteht nun die Möglichkeit, diese Funktionen über die Kibana API automatisiert anzusprechen und damit den Funktionsumfang der Response Console zu erweitern.

So können beispielsweise Skripte in einem Repository abgelegt, über den Befehl get-file geladen und anschließend über execute ausgeführt werden. So können umfangreiche Funktionspakete an die Endpoints ausgeliefert und verwendet werden, ohne diese Aktionen manuell durchführen zu müssen.

Fazit

Der Einsatz von Workflows erleichtert den Arbeitsalltag, insbesondere in Umgebungen mit vielen wiederkehrenden Aufgaben. Sie übernehmen manuell auszuführende Tätigkeiten, strukturieren Abläufe und sorgen dafür, dass Informationen etwa für Reports oder Analysen automatisch gesammelt und aufbereitet werden können. Darüber hinaus ermöglichen sie die automatisierte Interaktion mit externen Schnittstellen. Dadurch lassen sich Reaktionszeiten verkürzen und Arbeitsprozesse insgesamt effizienter gestalten.