使用 Elastic Security 实现您自己的“检测即代码”
内容提要
Elastic Security推出“检测即代码”（DaC）功能，旨在将安全检测规则作为代码管理。该功能改进了检测规则存储库，支持自定义规则目录、灵活配置单元测试及管理异常和操作，以减少合并冲突。同时提供参考文档和幻灯片，介绍DaC核心组件、工作流及VCS与平台同步模型，以提升检测工程成熟度。目前处于Alpha阶段，欢迎用户测试反馈。
延伸解读
DaC 与 IaC 的类比
文章将“检测即代码”与“基础架构即代码”进行类比，强调其核心思想是将安全检测规则视为代码进行管理。这意味着可以应用编码最佳实践，如版本控制、同行评审和自动化测试。对于熟悉 DevOps 的团队，这种类比有助于理解 DaC 的价值和实现方式，即通过代码化来提升检测规则的可靠性、可维护性和可扩展性。
Alpha 阶段的实用改进
Elastic 根据用户反馈，在 Alpha 阶段对检测规则存储库进行了三项关键改进：支持自定义规则目录以减少合并冲突、可配置单元测试的启用或跳过、以及灵活管理异常和操作。这些改进旨在让用户更轻松地采用 DaC，同时保留 Elastic 内部流程的灵活性。用户可以在测试后提供反馈，以影响后续开发。
DaC 的驱动因素与挑战
文章指出，采用 DaC 的驱动因素包括提升安全团队成熟度、应对不断增长的规则集和威胁态势、顺应自动化趋势以及满足合规要求。然而，DaC 并非简单的工具安装，而是安全规则管理方式的根本转变。用户需要根据自身基础设施和流程，选择 VCS 或 Platform 作为权威来源，或采用双向同步模型，这需要仔细规划和架构设计。
Q&A
什么是检测即代码（DaC）？
检测即代码（DaC）是一种将安全检测规则作为代码进行管理的方法，它应用了编码最佳实践，如版本控制、同行评审和自动化CI/CD管道，以提高检测质量、部署灵活性和合规性。
为什么组织应该采用检测即代码？
组织采用DaC的原因包括：推动安全团队成熟度、应对不断增长的规则集、扩大威胁态势、顺应自动化趋势以及满足合规与治理要求。
Elastic Security的检测即代码功能目前处于什么阶段？
目前处于Alpha阶段，用户可以在检测-rules/DAC-功能分支上进行测试并提供反馈。
Elastic Security的检测即代码功能提供了哪些增强功能？
增强功能包括：1) 支持自定义规则目录，减少合并冲突；2) 可配置哪些Elastic提供的单元测试在自定义规则上运行；3) 支持灵活管理异常和操作等规则设置。
Elastic Security的检测即代码功能提供了哪些参考资源？
提供了BSidesOK 2024幻灯片和参考文档，介绍了DaC核心组件、工作流、VCS与Platform同步模型，以及开发、部署和管理检测规则的注意事项和优缺点。
在Elastic Security中实施检测即代码需要哪些关键组件？
需要Elastic Security解决方案、版本控制系统（VCS）、包含检测逻辑的存储库，以及用于连接组件、自动化流程和提供UI的工具。
Elastic Security的检测即代码功能支持哪些同步模型？
支持三种模型：以VCS为权威来源、以Platform为权威来源、VCS与Platform之间的双向同步。
