zeroonesec/elastic2hive

elastic2hive

Elastic SIEM信号转TheHive警报工具

镜像概述

elastic2hive是一款用于将Elastic SIEM生成的安全信号（Signals）推送至TheHive威胁响应平台的工具，帮助安全团队实现威胁检测与响应流程的自动化整合。

核心功能

• 对接Elastic SIEM与TheHive平台，实现信号到警报的自动同步
• 支持自定义字段映射，将Elastic检测中的字段对应到TheHive警报的工件（Artifacts）
• 可通过Docker容器化部署，便于集成到现有安全基础设施

使用场景

• 安全运营团队需要将Elastic SIEM的威胁检测结果快速导入TheHive进行进一步分析与响应
• 希望自动化整合Elastic与TheHive的工作流，提升威胁处理效率

配置说明

1. 克隆仓库：git clone <仓库地址>
2. 配置config.json：填写Elasticsearch和TheHive的连接信息
3. 调整field_mappings.json：映射Elastic检测字段到TheHive警报的工件字段
4. 本地运行：python3 elastic2hive.py

Docker部署

容器运行

1. 克隆仓库并完成上述配置步骤
2. 构建镜像：docker build -t es2hive .
3. 启动容器：docker run --detach --name es2hive es2hive:latest

Docker Swarm配置

yaml
version: '3.7'
services:
  es2hive:
    image: your-registry/es2hive
    container_name: es2hive
    volumes:
      - ./config.json:/config.json
    networks:
      - elastic
    deploy:
      replicas: 1
      restart_policy:
        condition: on-failure
        delay: 5s
        max_attempts: 10
        window: 120s

networks:
  elastic:
    driver: overlay

贡献者

特别感谢以下贡献者对项目的支持：

• @smapper

免责声明

本工具不保证完全符合所有使用场景的需求，不提供官方技术支持。若发现问题可提交反馈，作者将尽力修复，但不承担因工具使用导致的任何责任。