オフェンスの索引付け

オフェンスの索引付けは、同じプロパティーに索引付けされたさまざまなルールのイベントまたはフローを単一のオフェンスにグループ化する機能を提供します。

IBM QRadar は、オフェンス索引パラメーターを使用して、一緒にチェーニングするオフェンスを判別します。 例えば、送信元 IP アドレスを 1 つだけ含み、宛先 IP アドレスを複数含むオフェンスは、その脅威に単一の攻撃者と複数の被害者が含まれていることを示しています。 このタイプのオフェンスを送信元 IP アドレスによって索引付けした場合、同じ送信元 IP アドレスから発生したすべてのイベントとフローが、同じオフェンスに追加されます。

オフェンスを任意の情報に基づいて索引付けするようにルールを構成できます。 QRadar には、オフェンスの索引付けに使用できる、事前定義された正規化フィールドのセットが含まれています。 索引付け対象のフィールドが正規化フィールドに含まれていない場合、カスタム・イベントまたはカスタム・フロー・プロパティーを作成して、ペイロードからデータを抽出し、ルール内でオフェンスの索引付けフィールドとしてそのデータを使用します。 索引付け対象のカスタム・プロパティーは、正規表現、計算、または AQL ベースの式を基にすることができます。