利用Cloudflare Zero Trust日志和Elastic SIEM提升安全分析
内容提要
Cloudflare和Elastic宣布在Elastic上推出了新的Cloudflare Zero Trust仪表板。这个合作允许共享客户存储、搜索和分析他们的Zero Trust日志。集成提供了全面的可见性、字段规范化、高效的搜索和分析、关联和威胁检测以及预构建的仪表板。预构建的仪表板包括Gateway HTTP和CASB，提供可见性并有效地帮助检测威胁。设置和部署集成简单，它增强了Zero Trust环境中的安全姿态，并允许更高效的风险管理。
延伸解读
集成部署的灵活性与选择
文章介绍了三种将Zero Trust日志转发到Elastic的方法：HTTP端点模式、AWS S3轮询模式和AWS S3 SQS模式。HTTP端点模式适合直接推送，S3轮询模式适合已有S3存储的场景，而SQS模式则支持多代理并行处理，适合大规模日志摄入。用户可根据现有基础设施和规模需求选择合适方式，部署过程简单，通过Cloudflare仪表板或API即可创建Logpush作业。
预构建仪表板的核心功能
集成提供了针对不同Zero Trust日志类型的预构建仪表板，其中Gateway HTTP仪表板专注于监控和分析通过Cloudflare安全Web网关的HTTP流量，帮助识别流量模式、检测潜在威胁并理解资源使用情况。CASB仪表板则提供对用户使用的云应用的可见性，旨在有效检测威胁，辅助风险管理和合规。这些仪表板具有交互性，支持筛选和跨仪表板固定，便于深入分析。
字段规范化与关联分析的价值
字段规范化将Zero Trust日志与其他来源的数据统一格式，简化了搜索和分析过程，便于创建警报和识别恶意活动模式。同时，将Zero Trust数据与其他安全事件结合，Elastic能实现更深层次的关联和威胁检测，有助于发现单独分析各数据源时可能遗漏的威胁，并识别复杂攻击模式。这提升了安全团队检测和响应威胁的效率。
支持的数据集与日志类型
目前支持八种账户级数据集摄入Elastic，包括访问请求、审计日志、CASB发现、网关日志（含DNS、网络、HTTP）以及Zero Trust会话日志。这些数据集覆盖了Zero Trust架构中的关键组件，使安全团队能够全面监控和分析各类事件，从而增强整体安全态势。用户可根据需要选择启用所有字段，确保日志的完整性。
Q&A
Cloudflare和Elastic合作推出了什么新功能？
Cloudflare和Elastic合作在Elastic平台上推出了新的Cloudflare Zero Trust仪表板，允许共享客户存储、搜索和分析他们的Zero Trust日志。
如何将Cloudflare Zero Trust日志转发到Elastic？
可以通过Logpush作业将Zero Trust日志转发到Elastic，支持直接通过Restful API或通过中介存储解决方案如AWS S3或Google Cloud。
这个集成提供了哪些预构建的仪表板？
集成提供了预构建的仪表板，包括Gateway HTTP和CASB。Gateway HTTP仪表板专注于HTTP流量监控和分析；CASB仪表板提供对云应用程序的可见性，帮助检测威胁和风险管理。
集成如何帮助检测安全威胁？
通过实时全面的事件视图、字段规范化、高效的搜索和分析，以及与其他安全事件的关联，集成能够帮助检测异常行为和潜在安全威胁，识别恶意活动模式。
在Elastic中启用Cloudflare Logpush集成的步骤是什么？
在Kibana中，转到Management > Integrations，搜索Cloudflare Logpush，点击添加按钮，然后使用HTTP Endpoint、AWS S3输入或GCS输入启用集成，并配置Cloudflare发送日志到Elastic Agent。
这个集成对Zero Trust环境的安全态势有什么好处？
集成通过统一数据、规范化字段、促进搜索和创建自定义仪表板，帮助组织理解安全态势，构建强大的安全策略，增强安全姿态，并允许更高效的风险管理。
