Langzeit-Korrelation - Übersicht
Über die Konfiguration von Langzeit-Korrelationsprofilen können Sie die Langzeitdaten angeben, die analysiert werden sollen, sowie den Regelsatz, der für den Test herangezogen werden soll. Bei Auslösung einer Regel wird ein Angriff erstellt. Diesem Angriff kann eine Untersuchung und eine Korrektur zugeordnet werden.
Datenauswahl
Das Profil erfasst mithilfe einer gespeicherten Suche die Langzeitereignis- und -datenflussdaten, die bei der Ausführung verwendet werden sollen. Stellen Sie sicher, dass das Sicherheitsprofil zur Anzeige der Ereignisse und Datenflüsse berechtigt, die bei der Ausführung der Langzeit-Korrelation berücksichtigt werden sollen.
Auswahl und Handhabung von Regeln
Die QRadar -Konsole verarbeitet Daten nur anhand der Regeln, die im Langzeit-Korrelationsprofil angegeben sind.
Testdaten von allgemeinen Regeln in Ereignissen und Flüssen. Sie müssen sowohl über die Berechtigung zur Anzeige von Ereignissen als auch von Flüssen verfügen, bevor Sie dem Profil allgemeine Regeln hinzufügen können. Wenn ein Profil von einem Benutzer bearbeitet wird, der nicht über die Berechtigung verfügt, sowohl Ereignisse als auch Flüsse anzuzeigen, werden die allgemeinen Regeln automatisch aus dem Profil entfernt.
Sie können inaktivierte Regeln in ein Langzeit-Korrelationsprofil einschließen. Bei der Ausführung des Profils wird die inaktivierte Regel für die eingehenden Ereignisse und Datenflüsse ausgewertet. Wird die Regel ausgelöst und als Regelaktion ein Angriff generiert, wird dieser Angriff selbst dann erstellt, wenn die Regel inaktiviert ist. Aus Gründen der Übersichtlichkeit werden Regelantworten wie beispielsweise Berichterstellung und E-Mail-Benachrichtigungen bei der Langzeit-Korrelation ignoriert.
Da die Langzeit-Korrelationsverarbeitung an einer einzelnen Position stattfindet, werden die im Profil enthaltenen Regeln als globale Regeln behandelt. Bei der Verarbeitung wird eine lokale nicht in eine globale Regel geändert. Die Regel wird jedoch während der Ausführung der Langzeit-Korrelation als global behandelt. Manche Regeln wie beispielsweise statusabhängige Regeln lösen unter Umständen nicht dieselbe Antwort aus, die sie bei einer normalen Korrelation auf einem lokalen Ereignisprozessor auslösen würden. Beispiel: Eine lokale statusabhängige Regel, die innerhalb von 5 Minuten fünf fehlgeschlagene Anmeldeversuche eines bestimmten Benutzers verfolgt, zeigt in einer normalen Korrelation ein anderes Verhalten als in einer Langzeit-Korrelation. In einer normalen Korrelation verwaltet diese lokale Regel einen Zähler für die fehlgeschlagenen Anmeldeversuche, die die lokalen Ereignisprozessoren empfangen. Bei der Langzeit-Korrelation verwaltet diese Regel einen einzelnen Zähler für das gesamte QRadar -System. In diesem Fall werden Angriffe unter Umständen anders als bei einer normalen Korrelation erstellt.
Erstellung von Angriffen
Langzeit-Korrelationsausführungen erstellen nur dann Angriffe, wenn eine Regel ausgelöst wird und wenn die Regelaktion angibt, dass ein Angriff erstellt werden muss. Die Ausführung einer Langzeit-Korrelation trägt nicht zu einem Echtzeitangriff bei, auch nicht zu einem Angrif, der durch eine frühere Ausführung der Langzeit-Korrelation erzeugt wurde, selbst wenn das gleiche Profil verwendet wird.
Die maximale Anzahl an Angriffen, die von einer Langzeit-Korrelationsausführung erstellt werden kann, ist 100. Die Langzeit-Korrelationsausführung wird gestoppt, sobald der Grenzwert erreicht ist.
Historische Angriffe können im Dashboard Bedrohungs- und Sicherheitsüberwachung sowie auf der Registerkarte Angriffe zusammen mit Echtzeitangriffen angezeigt werden.