Elastic Workflows - Automatisierung für SIEM, SOAR und Security Operations

Mit Version 9.4 hat Elastic Workflows offiziell für den produktiven Einsatz eingeführt und erweitert damit die Automatisierungs- und Orchestrierungsfunktionen des Elastic-Stacks. Sicherheitsprozesse lassen sich nun direkt innerhalb der Plattform automatisieren – ohne zusätzliche Automatisierungslösungen. Dadurch werden manuelle Tätigkeiten reduziert, Sicherheitsvorfälle schneller bearbeitet und Security Operations effizienter gestaltet. Weitere Informationen zu den Grundlagen von SIEM, SOC und SOAR sowie zu modernen SIEM-Lösungen finden Sie auf unserer Themenseite www.robotron.de/leistungen/services/siem.

Was sind Elastic Workflows?

Elastic Workflows sind konfigurierbare Prozessabläufe, die durch Ereignisse in definierten Intervallen oder durch manuelle Aktionen ausgelöst werden. Sie verknüpfen verschiedene Verarbeitungsschritte, APIs und externe Systeme zu automatisierten Abläufen und lassen sich über YAML-basierte Playbooks flexibel definieren.

Mehr Automatisierung für Security Operations

Für SOC-Teams bieten Workflows vor allem einen Vorteil: Wiederkehrende Aufgaben werden automatisch ausgeführt. Dazu gehören beispielsweise die Anreicherung von Sicherheitsereignissen, die Erstellung von Incidents und Cases, die Einbindung externer Systeme oder automatisierte Reaktionsmaßnahmen auf Endpoints. So entstehen standardisierte Incident-Response-Prozesse, die Bearbeitungszeiten verkürzen und Analysten von Routineaufgaben entlasten.

In Verbindung mit Elastic Defend können Reaktionsmaßnahmen wie das Isolieren eines Hosts oder das Beenden verdächtiger Prozesse direkt in automatisierte Workflows eingebunden werden. Erkennt beispielsweise eine Detection Rule eine Malware-Aktivität, können automatisch weitere Informationen gesammelt, ein Incident Case erstellt, das SOC benachrichtigt und definierte Gegenmaßnahmen eingeleitet werden.

Beispiel aus der Praxis: Automatisierte Erkennung verdächtiger Postfachaktivitäten

Ein beispielhaftes Einsatzszenario für Elastic Workflows aus unserer Projekterfahrung ist die automatisierte Erkennung verdächtiger E-Mail-Aktivitäten. In der Infografik unten ist der im folgenden beschriebene Ablauf anschaulich verbildlicht dargestellt. 

Der Workflow wird alle zwei Minuten ausgeführt, damit potenzielle Angriffe möglichst zeitnah erkannt werden. Zunächst prüft dieser, ob ein für die LDAP-Abfrage benötigter Webservice erreichbar ist und alarmiert, falls dem nicht so ist. Anschließend wird eine ES|QL-Abfrage ausgeführt, welche verdächtige Mailbox-GUIDs der vergangenen Stunde ermittelt, die noch nicht im Ergebnisindex verarbeitet wurden. Danach führt der Workflow für alle gefundenen Mailbox-GUIDs einen Webservice-Aufruf zur LDAP-Abfrage aus, um die zugehörigen Benutzerkonten und zugeordneten E-Mail-Adressen zu ermitteln. Der Workflow schreibt die angereicherten Informationen anschließend in einen dedizierten Ergebnis- oder Alarmindex. Abschließend informiert ein Alarm auf diesem Index das SOC automatisch über neu erkannte verdächtige Benutzer mit den Informationen aus LDAP sowie der ES|QL-Suche.

Die Verwendung der Mailbox-GUID bietet dabei einen entscheidenden Sicherheitsvorteil: Während Angreifer E-Mail-Adressen in bestimmten Logs manipulieren oder fälschen können, bleibt die eindeutige Mailbox-GUID des Postfachs unverändert und ermöglicht eine verlässliche Zuordnung zum tatsächlichen Benutzerkonto.