如何在ELK中测试威胁情报Filebeat模块规则

1. 先验证MISP Enrichment是否生效 #

• 打开Kibana的Discover模块，选择Filebeat对应的日志索引（比如filebeat-*）。
• 搜索并查看任意一条已采集的日志，检查是否存在MISP相关字段（比如misp.attributes.value、misp.threat_level_id、misp.tags等），确认MISP威胁情报已成功附加到日志中。
• 可通过精准搜索验证：输入exists:misp.attributes.value，若能返回结果，说明enrichment已正常工作。

2. 创建威胁情报检测规则 #

• 进入Kibana的Security > Alerts > Detection Rules（旧版本可能在Alerting > Rules）。
• 点击Create rule，选择Custom query类型（有预定义MISP规则模板可直接使用）。
• 填写核心配置：
  • Index patterns：选择Filebeat的日志索引（如filebeat-*）。
  • Query：编写匹配enrich后威胁情报的查询语句，示例：

    (source.ip:misp.attributes.value OR destination.ip:misp.attributes.value OR url.full:misp.attributes.value) AND misp.threat_level_id:1
    

    （注：misp.threat_level_id:1代表高威胁，可按需调整；字段名需与实际enrich结果一致）
  • Schedule：设置规则运行频率（比如每5分钟执行一次）。
• 配置告警动作：选择将告警发送到指定渠道（如Kibana内置告警面板、邮件、Slack等）。

3. 模拟触发告警测试 #

• 在Windows客户端手动生成包含MISP中已存在恶意IOC的行为日志：比如访问MISP标记的恶意域名，或模拟与恶意IP的连接。
• 等待Filebeat将日志发送到ELK并完成MISP enrichment后，查看Kibana的Alerts面板。
• 检查触发的告警详情，确认告警中包含MISP威胁情报信息（如IOC值、威胁描述、标签等）。

4. 调试与优化规则 #

• 若告警未触发：先在Discover中确认目标日志已被MISP enrich，字段名与规则查询语句匹配；再检查规则的索引范围、运行频率是否正确。
• 若误报过多：可在查询语句中增加过滤条件，比如只匹配高威胁级别（misp.threat_level_id:1），或限制特定日志类型（如event.dataset:windows.security）。

内容的提问来源于stack exchange，提问作者Majid Mortazavi