IBM QRadar SIEM Advanced Topics

Reguły domyślne wykryły incydent. Co dalej dzieje się samo?

Zaawansowany QRadar to nie tylko więcej reguł. To moment, w którym SIEM przestaje być tablicą do oglądania, a zaczyna sam parsować nieznane formaty logów, dociągać kontekst z zewnętrznych zbiorów i uruchamiać reakcję bez udziału analityka.

To autorski kurs EITT, opracowany i prowadzony przez praktyków utrzymujących QRadar SIEM w produkcji. Dwa dni: własne log source types, reference datasets, custom rules, custom action scripts i reguły wykrywania anomalii.

Dla kogo jest to szkolenie?

Dla osób, które QRadar już utrzymują i trafiły na jego granice. Szczególnie gdy:

• Masz systemy, których QRadar nie rozpoznaje — i potrzebujesz własnego typu źródła logów, nie obejścia
• Twoje reference data są wpisywane ręcznie i rozjeżdżają się z rzeczywistością
• Reakcja na incydent jest w całości manualna, choć pierwsze kroki dałoby się wykonać automatycznie
• Chcesz wykrywać odchylenia od normy, a nie tylko znane sygnatury

Cztery rzeczy, które wyniesiesz z tych dwóch dni

Własne log source types — natywna obsługa kończy się na popularnych systemach. Nauczysz się definiować typ źródła od zera: parsowanie, mapowanie pól na model QRadar, normalizacja. Efekt: zdarzenia z Twojej aplikacji są w SIEM równoprawne z logami z firewalla.

Reference datasets, które żyją same — sets, maps i tables różnią się nie składnią, a tym, do czego się nadają. Dobierzesz właściwy typ i zasilisz go automatycznie, żeby kontekst („ten adres to serwer produkcyjny”) nie był migawką z dnia wdrożenia.

Custom action scripts — reguła nie musi kończyć się alertem. Może odpytać system zewnętrzny, otagować asset albo rozpocząć procedurę. Reakcja przestaje czekać na analityka.

Reguły wykrywania anomalii — detekcja odchyleń od ustalonej normy zamiast dopasowania do znanej sygnatury. Najtrudniejsza część to nie włączenie reguły, a dobór progu i okna czasowego — i właśnie na to idzie czas ćwiczeń.

Którego kursu QRadar potrzebujesz?

EITT prowadzi kilka kursów wokół QRadar i łatwo je pomylić:

• Ten kurs (autorski EITT) — 2 dni. Źródła logów, reference data, custom rules, action scripts i osobny moduł reguł wykrywania anomalii.
• IBM QRadar SIEM Advanced Topics (BQ205G) — 2 dni, kurs autoryzowany IBM. Ten sam fundament (custom log sources, reference data, custom rules, tuning), ale zamiast anomalii dokłada IBM X-Force Threat Intelligence, User Behavior Analytics z QRadar Advisor i integrację z IBM SOAR.
• QRadar SIEM od podstaw do zaawansowanych technik — autorski kurs EITT, szersza ścieżka od podstaw, nie kurs autoryzowany IBM.

Z ponad 2500 szkoleń w ofercie EITT jest zaufanym partnerem w rozwoju kompetencji IT. Skontaktuj się z nami — prowadzimy ten kurs również jako szkolenie zamknięte dla zespołów SOC i utrzymania SIEM.