Elastic Security 9.4: Workflows w GA i ocena gotowości SIEM

W wydaniu Elastic 9.4 z 5 maja 2026 po stronie bezpieczeństwa najwięcej zmienia się w czterech miejscach: Elastic Workflows dostały status GA, pojawiła się ocena gotowości SIEM, uprawnienia do reguł i alertów można rozdzielić, a analiza encji (użytkowników, hostów, usług) dostała cztery nowe funkcje. Dla zespołu, który prowadzi SIEM na Elastic Security, to wydanie jest bardziej o porządkowaniu pracy niż o nowych regułach. Poniżej omawiamy, co z tego warto uruchomić jako pierwsze.

Przegląd funkcji i statusów

Funkcja	Status w 9.4
Elastic Workflows (automatyzacja: wzbogacanie, triaż, reakcja, powiadomienia, sprawy)	GA
Granularne uprawnienia do reguł detekcji i alertów	GA
SIEM Readiness: Visibility Health i pokrycie danych	Podgląd techniczny
Precision Entity Identification, Entity Resolution, Dynamic Watchlists, Entity-Driven Hunting Leads	GA
Runscript i biblioteka skryptów, zrzut pamięci na Linuksie (akcje odpowiedzi)	GA
Umiejętności (skills) dla agenta AI: triaż alertów, pisanie reguł, analiza encji, polowanie na zagrożenia, analiza anomalii	Status niepodany w ogłoszeniu
Umiejętność tworzenia workflowów	Eksperymentalna

Źródło: ogłoszenie Elastic 9.4. Ogłoszenie podaje, że Workflows w zakresie bezpieczeństwa są dostępne dla klientów z subskrypcją Enterprise. Zakres licencji dla pozostałych funkcji sprawdź w dokumentacji, zanim zaplanujesz użycie.

Workflows: automatyzacja tam, gdzie leżą dane

Workflows to wbudowany w Kibanę mechanizm automatyzacji, który pozwala opisać proces krok po kroku: wzbogacić alert o dane z innych źródeł, ocenić jego wagę, powiadomić zespół, założyć sprawę albo uruchomić odpowiedź. W wersji 9.3 funkcja była podglądem. Od 9.4 ma status GA.

Zanim zaczniesz, sprawdź dwie rzeczy. Po pierwsze, dostęp reguluje uprawnienie Workflows w sekcji Analytics w roli Kibany: odczyt wymaga Read lub All, a pełne zarządzanie All. Po drugie, dokumentacja wymaga odpowiedniej subskrypcji. Dobrze jest zacząć od jednego prostego procesu, na przykład wzbogacenia alertu o informację, czy host jest serwerem krytycznym, i założenia sprawy tylko dla takich alertów. Dopiero gdy ten proces działa stabilnie, dokładaj kolejne. Automatyczna reakcja, która wyłącza konto lub izoluje host, wymaga osobnego zatwierdzenia przez właściciela systemu i jasnych warunków wyjątków.

Osobne uprawnienia do reguł i alertów

Wersja 9.4 pozwala nadawać osobne uprawnienia do reguł detekcji i do alertów. To ważne w zespołach, w których analitycy SOC czytają i obsługują alerty, a reguły zmienia tylko wąska grupa inżynierów detekcji. Po aktualizacji sprawdź istniejące role i zdecyduj, kto powinien mieć które uprawnienie. Zasady przejścia dla istniejących ról opisuje dokumentacja, więc przeczytaj ją przed zmianą. Dobrze, jeśli zmiana reguł wymaga recenzji drugiej osoby, ale to już kwestia procesu, a nie funkcji Kibany.

SIEM Readiness: czy dane są takie, jak myślisz

Najbardziej praktyczna nowość dla właściciela SIEM to SIEM Readiness, na razie w podglądzie technicznym. Według wpisu Elastic z 4 maja 2026 narzędzie ocenia kondycję widoczności (Visibility Health) w pięciu kategoriach logów: urządzenia końcowe i hosty, tożsamość, sieć, chmura oraz aplikacje i usługi SaaS. Każdą kategorię ocenia w czterech wymiarach:

• Coverage: czy dane, których potrzebują reguły, w ogóle docierają,
• Quality: czy dane mają jakość wystarczającą do wykrywania,
• Continuity: czy napływają ciągle, bez przerw,
• Retention: czy są przechowywane wystarczająco długo.

Ocena opiera się na danych, które środowisko już wysyła. W projektach SIEM często okazuje się, że reguła istnieje, ale źródło przestało wysyłać dane trzy tygodnie temu, a nikt tego nie zauważył. Taki przegląd warto robić regularnie, nie tylko przy wdrożeniu. Ponieważ narzędzie jest w podglądzie, traktuj wynik jako podpowiedź do własnego przeglądu, a nie ostateczną ocenę zgodności.

Analiza encji w GA

Cztery funkcje analizy encji mają w 9.4 status GA. Precision Entity Identification buduje zweryfikowane profile użytkowników, hostów i usług. Entity Resolution łączy konta z różnych źródeł, takich jak Okta, Entra i Active Directory, w jedną tożsamość. Dynamic Watchlists pozwala zwiększać ocenę ryzyka dla ważnych encji, na przykład kont administratorów. Entity-Driven Hunting Leads podpowiada tropy do polowania na zagrożenia na podstawie ryzyka. Największą korzyść zobaczysz tam, gdzie jedna osoba ma kilka kont w różnych systemach, bo ocena ryzyka dotyczy wtedy człowieka, a nie pojedynczego loginu.

Akcje odpowiedzi na hostach

W 9.4 do akcji odpowiedzi doszły dwie funkcje o statusie GA: Runscript z biblioteką skryptów, który uruchamia skrypty z konsoli odpowiedzi albo jako akcję reguły, oraz zrzut pamięci na Linuksie. Zrzut pamięci był dostępny wcześniej na Windows, więc zespół, który wykonuje analizę powłamaniową, dostaje podobne możliwości na serwerach Linux. Skrypty uruchamiane zdalnie na hostach to ryzykowne narzędzie, dlatego ustal, kto może je dodawać do biblioteki i kto uruchamiać, i opisz to w procedurze reagowania na incydenty.

Umiejętności agenta AI

Ogłoszenie opisuje pięć umiejętności (skills) dla agenta AI w Elastic Security: triaż alertów, pisanie reguł detekcji, analizę encji, polowanie na zagrożenia i analizę anomalii. Umiejętności mogą działać jedna po drugiej, a osobna, eksperymentalna umiejętność pomaga tworzyć workflowy. Ogłoszenie nie podaje ich statusu, więc przed użyciem w pracy SOC sprawdź go w dokumentacji i oceń wyniki na alertach, które już znasz. Najbezpieczniej traktować takiego agenta jak młodszego analityka: jego wnioski sprawdza człowiek.

Na co uważać

• Agenci AI i umiejętności. Elastic dodaje umiejętności dla agenta (triaż, pisanie reguł, analiza encji). Zanim je włączysz, ustal, jakie dane mogą trafiać do modelu i gdzie ten model działa. To decyzja dla działu bezpieczeństwa i ochrony danych, nie ustawienie techniczne.
• Funkcje w podglądzie włączaj najpierw na środowisku testowym.
• Aktualizacja do 9.4 wymaga przejrzenia uwag o zmianach niezgodnych wstecz, szczególnie jeśli korzystasz też z metryk i szeregów czasowych. Opisujemy je w tekście o Elastic 9.4 dla metryk.

Jak to zastosować w praktyce

W pierwszych tygodniach po aktualizacji do 9.4 proponujemy taką kolejność: przegląd ról i uprawnień, jeden prosty workflow do wzbogacania alertów, SIEM Readiness raz w tygodniu na środowisku testowym, a analiza encji tam, gdzie masz dane z katalogu tożsamości. Jeśli dopiero budujesz SIEM, zacznij od pierwszych kroków z regułami.

Źródła danych, dostrajanie reguł i opiekę nad alertami w Elastic Security obejmujemy w ramach usługi SIEM i bezpieczeństwo.