Tích hợp Elastic
Tích hợp · SIEM và Big Data
Biến Elastic bạn đang vận hành thành SOC tự hành.
ApexAI kết nối native với Elastic, chỉ đọc trước tiên. Hệ thống truy vấn log ngay tại nơi chúng đang nằm, đối chiếu mọi kết luận với sự kiện gốc và chỉ ra chỗ detection rule của bạn có thể tốt hơn. Không cần thay thế hệ thống, không sao chép hàng loạt log.
Trạng thái: Sẵn sàng Truy cập chỉ đọc trực tiếp vào log và detection rule của Elastic đang chạy; đề xuất tinh chỉnh rule chờ người duyệt và không có gì được ghi ngược vào Elastic.
Dữ liệu của bạn ở lại trong Elastic
Nhiều đội bảo mật đã đầu tư nhiều năm cho Elastic: data stream, ingest pipeline, chính sách lưu trữ và detection rule được tinh chỉnh theo môi trường riêng. ApexAI xây trên nền đó thay vì bắt bạn chuyển đi. Khi cần bằng chứng, hệ thống đặt câu hỏi chính xác cho Elastic, chứ không sao chép log sang một kho khác.
Kết nối được thiết kế chỉ đọc. Mọi yêu c ầu ghi bị ApexAI từ chối ngay bên trong trước khi tới cụm của bạn, kể cả khi tài khoản được cấp có quyền rộng hơn. Truy vấn được giới hạn theo khoảng thời gian và tốc độ, để điều tra và săn tìm không tranh tài nguyên với analyst hay luồng ingest.
ApexAI làm gì với Elastic
Săn tìm tại chỗ
Câu hỏi săn tìm chạy thẳng trên index và data stream của bạn, kết quả được gắn với đúng host, người dùng và địa chỉ IP liên quan.
Điều tra bằng bằng chứng gốc
Khi một alert hay case cần thêm ngữ cảnh, ApexAI lấy các sự kiện xung quanh từ Elastic và trích dẫn trong bản tóm tắt điều tra, để mọi kết luận đều kiểm tra lại được.
Hiểu field của bạn
ApexAI luôn nắm field nào đang có trong dữ liệu và ý nghĩa của chúng, cập nhật hằng ngày, để truy vấn khớp với mapping thật thay vì một mẫu chung chung.
Rà soát detection rule
Rule không bao giờ kích hoạt, rule không có dữ liệu, rule hỏng hoặc ồn, rule trùng nhau và ngoại lệ quá rộng đều được đánh dấu, cùng các khoảng trống độ phủ MITRE ATT&CK.
Từ phát hiện về rule tới thay đổi được duyệt
01
Phát hiện
ApexAI đọc bộ rule và lịch sử alert gần đây ở chế độ chỉ đọc, rồi ghi nhận tình trạng sức khoẻ của từng rule.
02
Đề xuất
Với rule có thể tốt hơn, hệ thống soạn đề xuất tinh chỉnh: gộp alert, thu hẹp ngoại lệ, đổi ngưỡng hoặc bỏ rule trùng.
03
Backtest
Khi dữ liệu lịch sử cho phép, mỗi đề xuất được chạy lại trên dữ liệu cũ để bạn thấy lượng alert dự kiến thay đổi và rủi ro bỏ sót true positive.
04
Quyết định
Người duyệt chấp nhận hoặc từ chối từng đề xuất kèm lý do. Quyết định được lưu lại và giúp ApexAI hiểu cách đội của bạn muốn làm.
05
Áp dụng trong công cụ của bạn
Thay đổi đã duyệt do đội của bạn áp dụng trong Elastic. ApexAI không ghi rule vào cụm của bạn.
Vì sao các đội tin tưởng
- Chỉ đọc ngay trong code, không phụ thuộc quyền của tài khoản bạn cấp.
- Truy vấn có giới hạn để bảo vệ hiệu năng của cụm.
- Mọi phát hiện và đề xuất đều kèm bằng chứng và audit trail ghi rõ ai quyết định điều gì.
- Làm việc theo tenant: mỗi triển khai hoặc space Elastic được platform operator gắn vào tenant ApexAI riêng, dữ liệu không đi chéo giữa các tenant.
- Có thể kết nối Elastic trực tiếp, hoặc chỉ đọc qua giao diện chia sẻ dữ liệu của nhà cung cấp SOC đang vận hành Elastic cho bạn.
Câu hỏi thường gặp
ApexAI có sao chép toàn bộ log Elastic của tôi không?
Không. ApexAI truy vấn dữ liệu tại chỗ và chỉ giữ phần cần làm bằng chứng cho thực thể, case và bản tóm tắt. Log vẫn ở trong Elastic theo chính sách lưu trữ của bạn.
ApexAI có thay đổi detection rule trong Elastic không?
Không. Hệ thống đề xuất thay đổi kèm bằng chứng và backtest khi có thể. Mỗi đề xuất cần người duyệt, và đội của bạn áp dụng nó trong Elastic.
Tích hợp cần quyền gì?
Một tài khoản chỉ đọc là đủ và được khuyến nghị. ApexAI còn từ chối lệnh ghi ngay trong code, nên tài khoản có quyền rộng hơn cũng không thể bị dùng để ghi.
Xem ApexAI chạy trên chính cảnh báo của bạn.
Một buổi trình diễn với đội của bạn, bắt đầu ở chế độ quan sát: ApexAI chấm điểm và đề xuất, không tự hành động.