Watcher è una funzionalità di Elasticsearch per controlli pianificati e azioni automatizzate. Consente agli amministratori di definire condizioni, valutarle a intervalli regolari e attivare risposte come avvisi, script o altri flussi di lavoro. In ambito difensivo, questo è utile per monitorare lo stato di salute del cluster, rilevare modifiche alla configurazione e reagire rapidamente a eventi sospetti.
Nelle attività di sicurezza, Watcher è importante perché l'automazione può anche essere riutilizzata dopo una compromissione. Un operatore ostile che ha già accesso a Elasticsearch può usare controlli pianificati per verificare se utenti, chiavi API o altri indicatori di accesso esistono ancora, quindi ricrearli se i difensori li rimuovono. Questo rende Watcher parte del problema della persistenza: anche dopo un reset della password, processi automatizzati o definizioni memorizzate possono mantenere attiva una testa di ponte. I difensori dovrebbero esaminare le regole di Watcher insieme ad account, chiavi API e snapshot quando cercano accessi residui.