Langzeit-Korrelation

Über die Langzeit-Korrelation können Sie bisherige Ereignisse und Datenflüsse mithilfe der CRE (Custom Rules Engine) auf bereits aufgetretenen Sicherheitsbedrohungen oder Sicherheitsvorfälle untersuchen.

Einschränkung: Sie können die Langzeit-Korrelation in IBM QRadar Log Managernicht verwenden. Weitere Informationen über die Unterschiede zwischen IBM QRadar SIEM und IBM QRadar Log Manager finden Sie unter Funktionen in Ihrem IBM QRadar Produkt.
Standardmäßig analysiert eine IBM QRadar SIEM -Implementierung Informationen, die nahezu in Echtzeit aus Protokoll-und Datenflussquellen erfasst werden. Bei der Langzeit-Korrelation können Sie entweder nach der Startzeit oder nach der Gerätezeit korrelieren. Startzeit ist die Zeit, zu der das Ereignis von QRadarempfangen wurde. Device time (Einheitenzeit) ist die Zeit, zu der das Ereignis auf der Einheit aufgetreten ist.
Die Langzeit-Korrelation kann in folgenden Situationen nützlich sein:
Analyse von Massendaten
Wenn Sie Massendaten in Ihre QRadar -Bereitstellung laden, können Sie die Langzeit-Korrelation verwenden, um die Daten mit den in Echtzeit erfassten Daten zu korrelieren. Um beispielsweise Leistungseinbußen während der üblichen Geschäftszeit zu verhindern, können Sie Ereignisse aus einer Vielzahl von Protokollquellen immer um Mitternacht laden. Mit der Langzeit-Korrelation können Sie Daten entsprechend der Einheitenzeit korrelieren und so feststellen, in welcher Reihenfolge die Netzereignisse in den letzte 24 Stunden aufgetreten sind.
Test neuer Regeln
Sie können die Langzeit-Korrelation ausführen, um neue Regeln zu testen. Beispiel: Einer Ihrer Server wurde kürzlich von einer neuen Malware angegriffen, für die Sie keine Regeln zur Verfügung haben. Sie können eine Regel erstellen, die auf diese Malware überprüft. Anschließend können Sie die Regel anhand der Langzeit-Korrelation für Langzeitdaten testen und feststellen, ob die Regel eine Antwort auslöst, wenn sie zum Zeitpunkt des Angriffs aktiv gewesen wäre. In ähnlicher Weise können Sie die Langzeit-Korrelation verwenden, um zu bestimmen, wann der Angriff zum ersten Mal oder wie oft er aufgetreten ist. Sie können die Regel weiter optimieren und anschließend in eine Produktionsumgebung verschieben.
Erneute Erstellung von Angriffen, die verloren oder gelöscht wurden

Wenn Ihr System Angriffe wegen eines Ausfalls oder aus einem anderen Grund verloren hat, können Sie die Angriffe erneut erstellen, indem Sie die Langzeit-Korrelation bei den Ereignissen und Flüssen ausführen, die während dieser Zeit eingegangen sind.

Ermittlung zuvor verdeckter Sicherheitsbedrohungen
Sobald Informationen zu den zuletzt aufgetretenen Sicherheitsbedrohungen bekannt werden, können Sie mithilfe der Langzeit-Korrelation Netzereignisse ermitteln, die aufgetreten sind, bei denen aber kein Ereignis ausgelöst wurde. Sie können rasch feststellen, ob Sicherheitsbedrohungen aufgetreten sind, die die Integrität des Unternehmenssystems oder der Unternehmensdaten beeinträchtigt haben.