使用麋鹿堆栈为AWS日志创建SEIM仪表板
我们正在收集Elk stack Seim（Elasticsearch开放发行发行版）中的AWS日志，有人可以建议哪种类型的日志或安全事件需要连续监视并立即发出警报通知。我们正在使用基巴纳进行可视化。
我们需要在主仪表板中保留哪些重要的事情（例如：登录了多少个用户，主要使用哪个帐户）？
哪种类型的事件需要警报（例如：错误的密码尝试10倍，S3存储桶在办公时间后写入）？
如何识别AWS帐户何时被黑客入侵或攻击者偷走数据？
谢谢
We are collecting AWS logs in ELK stack SEIM (Open Distro for Elasticsearch) and Can someone please advise what type of logs or security events requires continuous monitoring and immediate alert notification. we are using Kibana for visualization.
What are the important things we need to keep in the Main Dashboard (ex: how many users logged in, which account is mostly used)?
What type of event requires alerts (ex: wrong password attempt 10X, S3 Bucket write after office hours) ?
How to identify when an AWS account is hacked or Attacker stole Data?
Thanks
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
在“公开发行”中（在我们的时间开放搜索中），这需要在警报部分中自己完成。
解决您的问题的最简单选择是使用原始Elasticsearch的免费版本，该版本在Kibana的安全应用程序中提供了检测引擎。
该检测引擎带有许多AWS特定规则，这些规则正在检查，例如黑客帐户。
在版本8中，您可以在弹性安全性下找到它 - ＆gt;警报 - ＆GT; （管理）规则 - ＆GT;导入弹性预制规则
您可以通过AWS Marketplace访问此版本的Elasticsearch。
In open distro (in our days open search) this needs to be done on your own in the alerting section.
The easiest option to solve your question is to use the free version from original Elasticsearch that provides an detection engine within the Security app in Kibana.
This detection engine comes with a number of AWS specific rules that are checking for e.g. hacked accounts.
In version 8 you find this under Elastic Security -> Alerts -> (Manage) Rules -> Import Elastic Prebuilt rules
You can access this version of Elasticsearch via AWS Marketplace.