使用 AI 加速你从当前 SIEM 迁移到 Elastic Security

作者：来自 Elastic Charles Davison, Mark Settle

利用 Search AI 驱动的 Automatic Migration，更快采用 Elastic Securit y—— 无需手动重建 SIEM 内容

迁移检测规则、仪表板和其他内容是切换 SIEM 中最具挑战性的部分之一。生成式 AI 可以减轻这一负担。

Elastic Security 8.18 和 9.0 新增的 Automatic Migration（自动迁移）功能，能够映射和转换现有的检测规则，降低迁移到新 SIEM 的工作量和复杂性。它与 Automatic Import（自动导入）功能互补，后者可创建自定义数据集成，同时还结合了 Elastic 的其他基于 AI 的功能。我们目前先支持 Splunk 的自动迁移，计划很快支持更多 SIEM 系统。同时，还会支持仪表板、可视化等更多 SIEM 内容的迁移。

Automatic Migration 可以可靠地将复杂的 Splunk 检测规则迁移到 Elastic Security。该功能使用基于 ELSER 自然语言处理（NLP）模型的语义搜索，将现有规则映射到 Elastic 内置规则，即使没有完全匹配的文本，也能匹配相应规则。未映射的规则（包括关联的查找表和宏）会通过基于自定义知识的生成式 AI 转换成新的 Elastic 查询。迁移完成后，Automatic Migration 会验证转换的规则，并提供直观界面便于快速安装。

Elastic 工程师通过真实规则集的性能评估和大量错误测试验证了 Automatic Migration 的可靠性。我们还在多个 AI 模型上进行了测试，结果可以在 Elastic Security 的 LLM 性能矩阵中查看。

Automatic Migration 目前以技术预览形式向所有拥有 Enterprise 许可证或 Elastic Cloud Serverless 的 Security Analytics Complete 级别客户开放。

Automatic Migration 现场演示

让我们看看该功能的实际使用情况。

Automatic Migration 可从 Elastic Security 的 “Get started” 页面访问。它支持按需运行，允许客户按照自己的节奏迁移规则，同时支持合并多个 Splunk 部署。

该功能引导用户从 Splunk 导出检测规则并上传。它会扫描规则中对宏和查找表的引用，发现后会提示你一并上传。系统通过这些逻辑确保迁移后的检测规则与原规则功能等效。

使用语义搜索将现有规则映射到预构建规则

Automatic Migration 会将许多现有规则映射到 Elastic Security Labs 提供的 1300 多条预构建检测规则，这些规则涵盖了 MITRE ATT&CK 矩阵中的各种用例。借助由 ELSER 驱动的语义搜索，系统解析每条规则的标题、描述和查询，根据意图识别等效规则，而不仅仅依赖于完全匹配的文本。这些规则由 Elastic 工程师持续维护，极大减少了客户的维护工作。相比人工映射规则需要大量时间和领域知识，Automatic Migration 通常能在几分钟内完成映射。

利用基于自定义知识的 AI 将现有规则翻译为新规则

当没有对应的预构建规则时，Automatic Migration 会创建自定义规则并验证其功能。它首先使用检索增强生成（retrieval augmented generation - RAG）识别与查询相关的预构建数据集成。然后将查询从 Search Processing Language（SPL）翻译为 ES|QL，利用基于自定义知识的 AI 进行转换。接着系统确定性地验证语法，如有必要会循环修改并重新测试逻辑。该流程确保每条完整翻译的规则符合 Elastic 的模式和结构，实现规则的可靠执行和性能。

规则映射与翻译流程详解

下图展示了 Automatic Migration 的工作流程：

让我们分解以上提到的步骤。

1. 用户上传通过提供的 SPL 查询导出的 Splunk 规则、宏和查找表，该查询可以修改，比如按应用或时间筛选规则。
2. Automatic Migration 试图将 Splunk 规则映射到 Elastic 的预构建规则。后台会使用 ELSER 生成 Elastic 预构建检测规则的向量表示（embedding）。
3. 该功能使用大型语言模型（LLM）生成与每条 Splunk 规则内容相关的关键词。
4. Automatic Migration 用每条 Splunk 规则的关键词对 Elastic 预构建规则的向量表示进行语义搜索，识别潜在匹配项。
5. Automatic Migration 将语义搜索结果传给 LLM，由其判断是否为完全或非常接近的匹配。
6. 如果找到匹配，预构建规则会被加入已翻译规则集中。
7. 如果未找到匹配，Automatic Migration 继续翻译 SPL 规则。
8. LLM 会将 SPL 查询中的宏替换为其展开形式。如果查询引用了查找表，查找文件会作为查找索引（lookup index）被索引到 Elasticsearch。
9. 当 LLM 返回替换了宏的 SPL 查询后，Automatic Migration 会进行另一轮语义查询，识别执行查询可能需要的预构建数据集成。
10. 然后，Automatic Migration 使用一个推理插件将 SPL 查询翻译成 ES|QL，这个插件能够根据自然语言请求生成 ES|QL 查询，与 Elastic AI Assistant 使用的是同一插件。插件包含所有可用 ES|QL 函数目录及其用法，LLM 会利用与原始查询相关的指令。
11. Automatic Migration 验证翻译后查询的语法。如果语法无效，查询和错误代码会返回给 LLM 进行修改。该循环最多运行三次。
12. 如果查询有效，Automatic Migration 指导 LLM 将 Splunk 通用信息模型（CIM）中的特定字段映射到 Elastic 通用架构（ECS）。如果没有找到直接映射且 LLM 无法确定合适的 ECS 字段，则保留原字段名不变。

审查并安装你的翻译规则

Automatic Migration 会显示所有翻译规则，并提供直接访问。规则根据翻译状态排序：

• 已映射或自定义的规则，已完全翻译且准备安装

• 部分翻译的规则，需用户操作

• 无法翻译的规则，可能因查询语言功能差异导致

你可以一键查看单条规则。Translation（翻译）标签页并排展示源规则和 Elastic 版本，方便高效对比。你可以进行编辑，并获得 Elastic AI Assistant 提供的关于规则语法和逻辑的上下文帮助。在 Overview（概览）标签页，可以查看规则的严重性、风险评分和执行间隔等详细信息。

自己体验 AI 的工作过程

理解并信任你的检测结果至关重要，因此 Automatic Migration 会详细说明每条规则是如何映射或翻译的。Summary（摘要）标签页概述了关键决策的理由 —— 比如字段分配和特定 ES|QL 命令的使用 —— 并突出显示任何缺失的宏或查找表。这种透明度帮助你验证翻译规则的行为，确保符合你的检测目标。

当规则仅部分翻译时，Automatic Migration 会识别阻碍因素，比如索引名称不匹配或缺失列。你可以按照步骤指引上传缺失的宏或查找表，如果缺少所需数据，系统还会建议相关集成。

准备就绪后，你可以一键安装已完全翻译的规则。

Elastic 的 AI 功能如何帮助 SOC 团队

Elastic Security 的 AI 功能帮助 SOC 团队加强整个 IT 环境的防御：

• Automatic Migration 补充了 Elastic 丰富的预构建规则库，扩大检测用例覆盖范围。

• Automatic Import 通过快速接入自定义数据源，扩展可视化并支持检测规则。

• Attack Discovery 精炼检测规则产生的警报，精准定位威胁并建议后续步骤。

• Elastic AI Assistant 使用自然语言指导分析员完成调查和响应。

探索切换到 Elastic Security

我们期待你开始使用 Automatic Migration。如有反馈，请在 Elastic 社区 Slack 频道或 Elastic Security 论坛告诉我们你的想法。

想在你的 SOC 使用 Elastic Security？免费试用或联系我们。

Splunk 及其他相关标识为 Splunk Inc. 在美国及其他国家的商标或注册商标。所有其他品牌名称、产品名称、标识或商标均归其各自所有者所有。

本文描述的任何功能发布时间及发布权完全由 Elastic 决定。当前未提供的功能可能无法按时或完全发布。

本文可能使用或引用了由第三方所有和运营的生成式 AI 工具。Elastic 无法控制这些工具，对其内容、操作或使用不承担责任，也不对因你使用这些工具可能产生的任何损失或损害负责。使用 AI 工具处理个人、敏感或机密信息时请谨慎。你提交的任何数据可能被用于 AI 训练或其他用途，无法保证信息安全或保密。请在使用前熟悉相关工具的隐私政策和使用条款。

Elastic、Elasticsearch 及相关标识为 Elasticsearch B.V. 在美国及其他国家的商标、徽标或注册商标。所有其他公司和产品名称均为其各自所有者的商标、徽标或注册商标。

原文：Fast-track your switch from your current SIEM with Automatic Migration | Elastic Blog