elasticsearch - 在 ELK SIEM 中检测端口扫描后在防火墙上阻止地址 IP

Question

我正在使用弹性堆栈 SIEM，我想知道是否有与我的防火墙交互的解决方案。所以在那之后 SIEM 检测到一个端口扫描器，我希望它在我的防火墙中自动添加一个规则并阻止该 IP 地址。

感谢您的回答。

标签： elasticsearchelastic-stackelk

Answer 1

如果您有许可证，则可以为此使用警报。警报允许在检测时调用 Web 服务。

然后你可以调用你的防火墙，或者调用一个微服务来调用你的防火墙或更新你的黑名单。

您可以在此处查看参考： https ://www.elastic.co/guide/en/elasticsearch/reference/current/actions-webhook.html