Règles et investigation

Ingestion ECS, requêtes KQL/ES|QL, règles de détection et investigations dans Kibana.

Types de règles

• requête personnalisée KQL ;
• ES|QL ;
• EQL pour les séquences ;
• seuil ;
• indicateurs de compromission ;
• machine learning selon la licence et le contexte.

Exemple EQL : Office → script

process where host.os.type == "windows" and event.type == "start" and
  process.parent.name in ("winword.exe", "excel.exe", "powerpnt.exe") and
  process.name in ("powershell.exe", "cmd.exe", "wscript.exe", "cscript.exe")

Investigation dans Timeline

Ajoute :

• hôte et utilisateur ;
• processus parent/enfant ;
• connexions réseau ;
• modifications de fichiers ;
• événements d'authentification ;
• alertes connexes.

Règle de qualité

Une détection devrait documenter :

Gestion des exceptions

Évite les exceptions globales. Utilise des conditions précises : hôte, signature, chemin, utilisateur de service, durée d'expiration et justification.

Références officielles

• Elastic Security — Règles ES|QL
• MITRE ATT&CK — Matrice Enterprise