Elastic Stack (ELK)

ما هذا المنتج؟

حزمة تخزين وبحث وعرض: Elasticsearch يخزّن، وKibana يعرض ويبحث. أسماء الحقول فيها موحّدة بمعيار ECS مثل `host.name` و`source.ip`، وهو معيار تستفيد منه حتى لو انتقلت لنظام آخر.

عن الشركة المنتجة

شركة هولندية-أمريكية صاحبة Elasticsearch وKibana. حزمتها المعروفة اختصارًا بـ ELK تُستخدم للبحث والتحليل عمومًا، وبُني عليها منتج أمني كامل.

ماذا يفعل المحلل داخله؟

• يبحث في Kibana بصيغة Lucene/KQL مثل `host.name: "FIN-WS-014"`.
• يقرأ نتيجة الحدث من `event.outcome`.
• يبني لوحة سريعة لمعرفة أكثر العناوين تكرارًا.
• يفتح Case ويكتب فيه ما وجد.

لغة البحث فيه

هذه أمثلة مكتوبة بالصيغة التي يقبلها المنتج نفسه.

• host.name: "FIN-WS-014"
• event.outcome: failure and user.name: admin

أسماء الحقول التي يستخدمها

• event.dataset
• host.name
• user.name
• source.ip
• destination.ip
• event.action
• event.outcome

أين تجده في سوق العمل؟

منتشر في الشركات التقنية والمنصات، ومعرفة أسماء حقول ECS ميزة واضحة في المقابلات.

أدوات من نفس التصنيف

• Splunk Enterprise Security
• IBM QRadar
• Microsoft Sentinel
• LogRhythm SIEM
• Wazuh