Ik ontving een mail van Elastic dat ze weer hun jaarlijkse event in de Beurs van Berlage hielden, Elastic{ON} Tour 2026/2027.
Hier ben ik een aantal keren geweest, 2022, 2023 en 2025. Daarbij maken mijn collega's en ik gebruik van hoe zaken al ingericht zijn/al werken. Dus de IIS-logs die automatisch ingelezen worden, de APM-data die opgeslagen wordt. Recent wel wat zaken gedaan, in het security-deel regels aanmaken, zodat we snel inzichtelijk hebben vanaf welke IP-adressen er "veel te veel" requests op onze websites binnenkomen. En een bug gevonden, telemetrie-data wordt naar APM verstuurd, ook als "recording" uit staat - dus de configuratie daarvan opgezocht en met collega's gedeeld.
Maar het is net als met Zabbix, je leert pas de mogelijkheden kennen als je zelf een omgeving op zet en ermee gaat "pielen". Wat ik nog steeds moet doen... Maar goed, het gratis kaartje heb ik geregistreerd, ik wil wel eens horen welke ontwikkelingen er het afgelopen jaar geweest zijn.
Want dat mag ook wel even gezegd worden; Dit event is natuurlijk bedoeld om de eigen producten goed op de kaart te zetten, dus de tickets zijn gratis. Maar ook "de rest". Dus een licht ontbijt, koffie, koekjes, fris, tussen de middag een lunch. In de grote ruimte hebben partners hun kraampjes staan waar je kunt zien wat zij te bieden hebben. En natuurlijk de presentaties die gegeven worden. Partijen die gebruik maken van Elastic software en laten zien wat dit voor hun betekent heeft. Ondanks dat ik de afgelopen jaren zelf niet zoveel met Elastic-producten gedaan heb, wat komt doordat er zoveel anders gedaan moet worden, aan het eind van de Elastic{ON}-dag heb ik altijd het gemotiveerde gevoel om ermee aan de slag te gaan.
Op 20 oktober ben ik om 6.15 uur vertrokken. Via de Afsluitdijk. Wat vertraging rond Purmerend en de ring om Amsterdam, rond 8.20 uur staat mijn auto in de parkeergarage. Twintig minuten later dan vorig jaar, dus ik skip mijn cappuccino bij de Mc Donalds aan het Rokin en loop rechtstreeks door naar de Beurs van Berlage. Badge in ontvangst genomen, jas ingeleverd bij de garderobe. Ik ben er klaar voor.
In de eerste pauze na de eerste presentaties wordt ik aangesproken door iemand die zegt "jij komt uit Wergea toch?". Blijkt een oud-collega van mij te zijn, in de tijd dat ik de opleiding Hogere Informatica volgde, had ik een bijbaantje bij de Postbank (net als andere studenten). Hij is hier blijven werken, is hier aanwezig omdat de ING ook met Elastic werkt.
De laatste presentatie zou rond 17.10 uur afgelopen zijn - dat wordt 17.20 uur. Dan je jas ophalen bij de garderobe, teruglopen naar de parkeergarage, TomTom instellen op "thuis". En daarbij eerst nog even langs de Mc Donalds om wat warm eten te regelen. Rond 19.50 uur weer thuis. Het was een lange dag!
Daarna uitwerken wat ik deze dag allemaal gehoord heb. Ook hier besteed ik wel een paar avonden/een deel van mijn weekend aan.
Het volledige verslag kun je hier nalezen. Dat is best wel een lap tekst. Dus hier nog even de samenvatting van deze dag.
Mocht je de slides willen zien, ik heb van een flink aantal foto's gemaakt (dat is ook mijn input om de dagen erna mijn verslag op te baseren), die kun je hier bekijken.
TL;DR
Nieuwe Producten
- AlertZero - agents die security-gerelateerd bezig zijn, verschillende watches die jou ondersteunen om potentiële dreigingen uit te schakelen voor ze actief worden.
- Elastic Nightshift - AI SRE (Site Reliability Engineering) - autonoom onderzoek plegen waarom onderdelen traag worden, er fouten optreden.
- ES|QL - data federation, nu ook query-en op de data die in jouw AWS S3 container staat.
- Het Vector Database project type. Hybride zoekacties. GPU interactie met JINA AI modellen.
- JINA OCR. Volgens mij heb ik dit vorig jaar gedeeld, JINA is een bedrijf in AI wat overgenomen is door Elastic. JINA kan nu ook OCR doen, dus waarbij ook data geïnterpreteerd kan worden door locatie, indeling.
Verbeteringen
- Wederom optimalisaties qua opslag van data. Met de "columnar mode" kan bepaalde data die perfect als een tabel kan worden opgeslagen/weergegeven daarin opgeslagen worden, in plaats van in "document mode", waarbij er meerdere kopieën en views zijn. Bij LogsDB index mode is er 70% besparing op opslag ten opzichte van de huidige Elastic (versie 8.17+).
- Verbeteringen in de Vector Database, index mode, auto-calibration.
Aanraders
Ga naar de site / Github van Elastic en kijk wat ze allemaal aan security doen. Elastic doet heel veel met detectie-regels, deze zijn publiekelijk beschikbaar (map rules). Dus mocht je geen Elastic gebruiken, maar je kunt er zelf wel wat mee, doe dat dan ook.
Lees ook de cases van Axios en de Obisidian breach. Hoewel er een gedeelte "social engineering" in de Obisidian breach zat en "wij" als het goed is daar niet intrappen, zijn de hackers niet voor één gat te vangen. Met AI is het misschien mogelijk om over niet al te lange tijd legitieme updates te patchen, waarbij er malware meegeleverd wordt. En dan is de vraag: is de monitoring in jouw netwerk/domein/pc voldoende om dit tegen te houden?
En de samenvatting die ChatGPT ervan gemaakt heeft:
ElasticON 2026 in de Beurs van Berlage stond in het teken van de combinatie van AI en security. De centrale boodschap was dat AI niet alleen vragen moet beantwoorden, maar steeds vaker zelfstandig acties uitvoert. Daarvoor zijn betrouwbare context uit bedrijfsdata, goede orkestratie en menselijke controle essentieel. Elastic positioneert Elasticsearch als verbindende infrastructuur die data uit logs, metrics, traces, documenten en externe bronnen doorzoekbaar maakt, onder meer met vectorzoekopdrachten, RAG, ES|QL en nieuwe opslagmogelijkheden.
Voor observability presenteerde Elastic een geïntegreerd platform voor logs, metrics en traces, met goedkopere retentie, snellere queries en koppelingen met onder meer Prometheus en Grafana. AI-agents moeten incidenten onderzoeken door signalen te combineren met eerdere incidenten en runbooks. De aangekondigde Nightshift AI SRE en AlertZero automatiseren detectie, triage, threat hunting en voorgestelde herstelacties; menselijke goedkeuring blijft instelbaar.
De securitysessies benadrukten dat aanvallers AI inzetten en misbruik maken van vertrouwde software, accounts en afhankelijkheden. Elastic toonde endpointbeveiliging, meer dan tweeduizend detectieregels en onderzoek naar supply-chain-aanvallen, zoals de besmette Axios-release en Obsidian-plugins. Security Labs deelt analyses en detecties publiekelijk. De boodschap: monitor gedrag, niet alleen bekende bestanden of hashes, en zet ontdekkingen om in herbruikbare bescherming.
De praktijkcases lieten zien wat centrale data en automatisering opleveren. TomTom ontdekte een inbraak pas na elf dagen, maar verwerkt daarna dagelijks veel meer data en sloot tienduizenden laag-risicomeldingen automatisch zonder gemiste echte incidenten. Shell liet zien hoe een jarenlang genegeerde fout in databaseverbindingen tot resourceproblemen leidde; betere observability maakte diagnose en herstel mogelijk. Het CJIB beschreef groei naar grootschalige SIEM op Kubernetes en adviseerde standaarden, automatisering en pragmatische keuzes. De afsluitende DFIR-demo liet zien hoe forensische data, live respons en AI de snelheid van incidentafhandeling kunnen verbeteren.