Correlação de Eventos de Segurança no QRadar

Quando Usar

Use esta habilidade quando:

• Analistas de SOC precisarem investigar ofensas do QRadar e correlacionar eventos entre múltiplas fontes de log
• Engenheiros de detecção criarem regras de correlação personalizadas para identificar ataques de múltiplos estágios
• For necessário ajustar alertas para reduzir ofensas de falsos positivos e melhorar a qualidade do sinal
• A equipe migrar do monitoramento básico de eventos para a correlação baseada em comportamento

Não use para integração ou análise de fontes de log — isso requer acesso de administrador do QRadar e conhecimento do editor DSM.

Pré-requisitos

• IBM QRadar SIEM 7.5+ com gerenciamento de ofensas habilitado
• Conhecimento de AQL para consultas ad-hoc de eventos e fluxos
• Fontes de log normalizadas com mapeamentos QID corretos (Windows, firewall, proxy, endpoint)
• Papel de usuário com permissões de gerenciamento de ofensas, criação de regras e pesquisa AQL
• Conjuntos/mapas de referência configurados para gerenciamento de listas brancas e de observação

Fluxo de Trabalho

Etapa 1: Investigar uma Ofensa com AQL

Abra uma ofensa no QRadar e consulte os eventos contribuintes usando AQL (Ariel Query Language):

SELECT DATEFORMAT(startTime, 'yyyy-MM-dd HH:mm:ss') AS event_time,
       sourceIP, destinationIP, username,
       LOGSOURCENAME(logSourceId) AS log_source,
       QIDNAME(qid) AS event_name,
       category, magnitude
FROM events
WHERE INOFFENSE(12345)
ORDER BY startTime ASC
LIMIT 500

Faça um pivô no IP de origem para encontrar toda a atividade:

SELECT DATEFORMAT(startTime, 'yyyy-MM-dd HH:mm:ss') AS event_time,
       destinationIP, destinationPort, username,
       QIDNAME(qid) AS event_name,
       eventCount, category
FROM events
WHERE sourceIP = '192.168.1.105'
  AND startTime > NOW() - 24*60*60*1000
ORDER BY startTime ASC
LIMIT 1000

Etapa 2: Criar uma Regra de Correlação Personalizada

Crie uma regra de múltiplas condições detectando força bruta seguida de login bem-sucedido:

Regra 1 — Detecção de Força Bruta (Bloco de Construção):

Rule Type: Event
Rule Name: BB: Multiple Failed Logins from Same Source
Tests:
  - When the event(s) were detected by one or more of [Local]
  - AND when the event QID is one of [Authentication Failure (5000001)]
  - AND when at least 10 events are seen with the same Source IP
    in 5 minutes
Rule Action: Dispatch new event (Category: Authentication, QID: Custom_BruteForce)

Regra 2 — Força Bruta Bem-Sucedida (Regra de Correlação):

Rule Type: Offense
Rule Name: COR: Brute Force with Subsequent Successful Login
Tests:
  - When an event matches the building block BB: Multiple Failed Logins from Same Source
  - AND when an event with QID [Authentication Success (5000000)] is detected
    from the same Source IP within 10 minutes
  - AND the Destination IP is the same for both events
Rule Action: Create offense, set severity to High, set relevance to 8

Etapa 3: Usar AQL para Correlação Entre Fontes

Correlacione falhas de autenticação com fluxos de rede para detectar movimento lateral:

SELECT e.sourceIP, e.destinationIP, e.username,
       QIDNAME(e.qid) AS event_name,
       e.eventCount,
       f.sourceBytes, f.destinationBytes
FROM events e
LEFT JOIN flows f ON e.sourceIP = f.sourceIP
  AND e.destinationIP = f.destinationIP
  AND f.startTime BETWEEN e.startTime AND e.startTime + 300000
WHERE e.category = 'Authentication'
  AND e.sourceIP IN (
    SELECT sourceIP FROM events
    WHERE QIDNAME(qid) = 'Authentication Failure'
      AND startTime > NOW() - 3600000
    GROUP BY sourceIP
    HAVING COUNT(*) > 20
  )
  AND e.startTime > NOW() - 3600000
ORDER BY e.startTime ASC

Detecte exfiltração de dados correlacionando consultas DNS com grandes fluxos de saída:

SELECT sourceIP, destinationIP,
       SUM(sourceBytes) AS total_bytes_out,
       COUNT(*) AS flow_count
FROM flows
WHERE sourceIP IN (
    SELECT sourceIP FROM events
    WHERE QIDNAME(qid) ILIKE '%DNS%'
      AND destinationIP NOT IN (
        SELECT ip FROM reference_data.sets('Internal_DNS_Servers')
      )
      AND startTime > NOW() - 86400000
    GROUP BY sourceIP
    HAVING COUNT(*) > 500
  )
  AND destinationPort NOT IN (80, 443, 53)
  AND startTime > NOW() - 86400000
GROUP BY sourceIP, destinationIP
HAVING SUM(sourceBytes) > 104857600
ORDER BY total_bytes_out DESC

Etapa 4: Configurar Conjuntos de Referência para Enriquecimento de Contexto

Crie conjuntos de referência para listas brancas e listas de observação dinâmicas:

# Criar conjunto de referência via API do QRadar
curl -X POST "https://qradar.example.com/api/reference_data/sets" \
  -H "SEC: YOUR_API_TOKEN" \
  -H "Content-Type: application/json" \

…