使用Elastic Security打造自己的检测即代码
内容提要
Elastic安全团队推广“检测即代码”（DaC）实践，改进检测规则仓库，支持自定义规则管理、配置测试及异常处理。提供参考文档和幻灯片，帮助用户通过版本控制和CI/CD流程管理安全规则，提升协作与合规性。目前处于alpha阶段，邀请用户测试反馈。
延伸解读
检测即代码的核心理念
检测即代码（DaC）借鉴基础设施即代码（IaC）的思路，将安全检测规则视为代码进行管理。它强调通过版本控制、同行评审和自动化CI/CD管道来提升检测质量、部署灵活性和合规性。采用DaC有助于安全团队走向成熟，应对不断增长的规则集和威胁态势，并满足审计要求。
当前alpha阶段的改进
Elastic在alpha阶段对detection-rules仓库进行了三项主要增强：支持自定义规则目录以减少合并冲突；允许配置哪些内置单元测试应用于自定义规则；以及支持在仓库中灵活管理异常和操作等规则设置。这些改进旨在让外部用户更容易使用该仓库进行自定义规则管理。
实施DaC的考量
Elastic强调DaC不仅是工具，更是管理安全规则方式的根本转变。他们提供了参考文档和幻灯片，涵盖DaC的核心组件（如版本控制、同步、平台管理）以及三种治理模型（VCS主导、平台主导、双向同步）。用户应根据自身基础设施和流程选择合适的方法，并注意alpha版本可能随时变化。
Q&A
什么是检测即代码（DaC）？
检测即代码（DaC）是一种将安全检测规则作为代码来管理的方法，类似于基础设施即代码（IaC）。它采用编码最佳实践，如同行评审、自动化CI/CD管道，来管理检测规则，以提高检测质量、灵活性和合规性。
为什么组织应该采用检测即代码？
采用DaC的原因包括：推动安全团队成熟度、应对不断增长的规则集、扩大威胁覆盖范围、顺应自动化趋势，以及满足合规和治理要求。
Elastic Security的检测即代码实现包含哪些核心组件？
核心组件包括：Elastic Security解决方案、版本控制系统（如Git）、包含检测规则的仓库，以及连接这些组件并自动化关键流程的工具。
Elastic在alpha阶段对检测规则仓库做了哪些增强？
Elastic做了三项增强：1）提供配置以指定自定义规则目录，减少合并冲突；2）允许配置运行或跳过哪些Elastic提供的单元测试；3）支持在仓库中灵活管理规则设置，如异常和操作。
Elastic提供了哪些资源来帮助用户实施检测即代码？
Elastic提供了BSidesOK 2024幻灯片和参考文档，其中包含DaC的高层组件、工作流、优缺点以及快速入门示例。这些资源对安全分析师、检测工程师、团队负责人、DevOps工程师和IT安全架构师都有帮助。
在Elastic Security中实施检测即代码时，有哪些治理模型可以选择？
有三种模型：以版本控制系统（VCS）为权威、以平台为权威、以及VCS与平台之间的双向同步。
如何参与Elastic检测即代码的alpha测试并提供反馈？
用户可以在detection-rules/DAC-feature分支上测试，并通过Community Slack的#security-rules-dac频道或detection-rules问题跟踪器提供反馈。
