Angepasste Regeln in IBM QRadar
Regeln, manchmal auch Korrelationsregeln genannt, werden für die Suche oder Aufdeckung von Anomalien auf Ereignisse, Datenflüsse oder Angriffe angewendet. Wenn alle Bedingungen einer Prüfung erfüllt sind, wird von der Regel eine Antwort generiert.
Was sind Regeln?
Benutzerdefinierte Regeln prüfen Ereignisse, Datenflüsse und Angriffe, um ungewöhnliche Aktivitäten in Ihrem Netz zu ermitteln. Um neue Regeln zu erstellen, kombinieren Sie bestehende Regeltests mithilfe von UND und ODER. Anomalieerkennungsregeln prüfen die Ergebnisse gespeicherter Datenfluss- oder Ereignissuchen, um zu erkennen, wenn ungewöhnliche Datenverkehrsmuster in einem Netz auftreten. Für Anomalieerkennungsregeln ist eine gespeicherte Suche erforderlich, die um einen allgemeinen Parameter gruppiert ist.
Was sind Bausteine?
Ein Baustein ist eine Sammlung von Tests, die nicht zu einer Antwort oder Aktion führen.
In einem Baustein werden allgemein verwendete Tests gruppiert, um eine komplexe Logik zu erstellen, sodass eine Wiederverwendung in Regeln möglich ist. Bausteine werden oft zum Test auf IP-Adressen, Namen privilegierter Benutzer oder Ereignissammlungen verwendet. So kann ein Baustein beispielsweise die IP-Adressen aller DNS-Server enthalten. Dieser Baustein kann dann von Regeln verwendet werden.
QRadar verfügt über Standardregeln und Sie können auch weitere Regeln von IBM Security App Exchange herunterladen, um neue Regeln zu erstellen.
Wie funktionieren Regeln?
QRadar Event Collectors sammeln Ereignisse aus lokalen und fernen Quellen, normalisieren diese Ereignisse und klassifizieren sie in untergeordnete und übergeordnete Kategorien. Bei Datenflüssen liest QRadar Flow Collectors Pakete aus den Sende-oder Empfangsdatenflüssen von anderen Einheiten und konvertiert dann die Netzdaten in Datenflussdatensätze. Jeder Ereignisprozessor verarbeitet Ereignisse oder Flussdaten aus QRadar Event Collectors. Flow Processors untersuchen und korrelieren die Informationen, um Verhaltensänderungen oder Richtlinienverstöße anzuzeigen. Die CRE (Custom Rules Engine) verarbeitet Ereignisse und vergleicht sie mit definierten Regeln, um Anomalien festzustellen. Wenn eine Regelbedingung erfüllt ist, generiert der Ereignisprozessor eine Aktion, die in der Regelantwort definiert ist. Die CRE überwacht die an Vorfällen beteiligten Systeme, trägt Ereignisse zu Angriffen bei und generiert Benachrichtigungen.
Wie wird aus einer Regel ein Angriff erstellt?
QRadar erstellt einen Angriff, wenn Ereignisse und/oder Datenflüsse die in den Regeln angegebenen Testkriterien erfüllen.
- Eingehende Ereignisse und Datenflüsse
- Anlageninformationen
- Bekannte Sicherheitslücken
Der Angriffstyp wird durch die Regel bestimmt, die den Angriff erstellt hat.
Der Magistrat vergibt Prioritäten für die Angriffe und weist auf der Grundlage mehrerer Faktoren einschließlich der Anzahl der Ereignisse, des Schweregrads, der Relevanz und der Zuverlässigkeit einen Wert für das Ausmaß zu.
Beispielsweise wird ein Baustein so definiert, dass ein Verstoß bei Ereignissen mit hohem Ausmaß ausgelöst wird. In der Protokollaktivität kann angezeigt werden, dass es Ereignisse mit hohem Ausmaß gab, aber kein Verstoß ausgelöst wurde. Dies kann passieren, wenn es sich bei den Ereignissen beim Testen des Bausteins nicht um Ereignisse mit hohem Ausmaß handelte. Das Ausmaß des Ereignisses hat sich erst erhöht, nachdem die Regeln getestet wurden.
Eine Lösung besteht darin, eine Regel zu definieren, um die verschiedenen in der Wertigkeit, der Zuverlässigkeit und der Relevanz zu überprüfen, anstatt einen Baustein zu verwenden.