1.

Malicious Event Detection Using ELK Stack Through Cyber Threat Intelligence

ELK Stack có thể được áp dụng trong việc phát hiện các sự kiện độc hại bằng cách sử dụng
thông tin CTI. Thông tin CTI cung cấp thông tin về các mối đe dọa mạng hiện đang tồn tại,
bao gồm cả các mẫu độc hại, địa chỉ IP đáng ngờ và các biểu hiện của hoạt động tấn công.

Link: https://www.ijitee.org/wp-content/uploads/papers/v8i7/G6018058719.pdf

Threat Hunting
Threat hunting với ELK Stack là một phương pháp tiếp cận phổ biến trong việc phát hiện các
mối đe dọa mạng trong một tổ chức. ELK Stack bao gồm Elasticsearch, Logstash và Kibana,
là một bộ công cụ mạnh mẽ cho việc thu thập, lưu trữ, xử lý và hiển thị dữ liệu log và sự kiện
từ nhiều nguồn khác nhau.

Quá trình threat hunting với ELK Stack thường bắt đầu bằng việc thu thập dữ liệu log từ các
hệ thống và ứng dụng trong mạng. Logstash được sử dụng để thu thập, tiêu thụ và tiêu
chuẩn hóa dữ liệu, sau đó dữ liệu này được lưu trữ trong Elasticsearch để tạo ra một kho dữ
liệu phân tán, dễ truy xuất và tìm kiếm.

Link:
https://www.researchgate.net/publication/357818741_Threat_Hunting_Using_Elastic_Stac
k_An_Evaluation

Sử dụng ELK Stack ghi log và phân tích cho Microservices

Giả định rằng các thực thể được phân tán trên các máy khác nhau. Mô hình trên giả định hệ
thống được thiết kế theo kiến trúc microservice.

Modules:

• Authentication: Xử lý việc xác thực và phân quyền người dùng.

• Push notification: Gửi thông báo đến các user agent.
• Dashboard: Tính toán và thống kê theo dữ liệu hiện có.

Link: https://viblo.asia/p/elastic-stack-xay-dung-trien-khai-giam-sat-va-quan-ly-tap-trung-
request-logs-theo-kien-truc-microservices-RnB5pAnDKPG

Automated Threat Response

Elastic Stack - Automated Threat Response là một phương pháp trong lĩnh vực bảo mật
mạng sử dụng bộ công cụ Elastic Stack để tự động hóa việc phản ứng đối với các mối đe
dọa mạng. Elastic Stack bao gồm Elasticsearch, Logstash, và Kibana, cùng với các thành
phần khác như Beats và X-Pack, tạo nên một nền tảng mạnh mẽ cho việc thu thập, lưu trữ,
xử lý, và hiển thị dữ liệu log và sự kiện từ một loạt các nguồn khác nhau.

Quá trình Automated Threat Response với Elastic Stack thường bắt đầu bằng việc sử dụng
Beats hoặc Logstash để thu thập dữ liệu log từ các nguồn khác nhau trong mạng. Sau đó,
dữ liệu này được tiêu chuẩn hóa và lưu trữ trong Elasticsearch để tạo ra một kho dữ liệu
phân tán, dễ truy xuất và tìm kiếm.

Link + demo: https://www.linkedin.com/pulse/elastic-stack-automated-threat-response-

sure-why-hung-nguyen/