IBM QRadar SIEM: Od začátečníka po pokročilé Počítačový Kurz

Modul 1: SIEM/Základy, architektura a přehled ekosystému

Tento modul poskytuje komplexní pochopení základů SIEM (Security Information and Event Management), architektury platformy IBM QRadar, integrace do ekosystému a širšího bezpečnostního analytického landscape včetně XDR, SOAR a platform threat intelligence.

1.1 Bezpečnostní analýza a základy SIEM

• Landscape SIEM: evoluce od správy logů k bezpečnostní analýze
• SIEM vs. SOAR vs. XDR: pochopení konvergence bezpečnostních nástrojů
• Základní komponenty SIEM: sběr logů, normalizace, korelace a alertování
• Pracovní postup SOC analytika: detekce, triáž, vyšetřování a reakce
• Přehled rámce MITRE ATT&CK a jeho role v mapování SIEM

1.2 Architektura platformy IBM QRadar

• Architektura QRadar on-premises: Event Processor, Log Manager, Console a Flow Processor
• QRadar na Cloudu: architektura multi-tenant, ingest modely a škálovatelnost
• Nasazení Hybrid Cloud QRadar: kombinace funkcí on-prem a cloudu
• Možnosti nasazení: Virtual Appliances, Hardware Appliances a SaaS
• Vysoká dostupnost (HA) a konfigurace Active-Passive vs. Active-Active

1.3 Komponenty QRadar a navigace v konzoli

• Konzole IBM QRadar: přehled rozhraní, workspaces, dashboards a navigace
• Doplňkové aplikace (Complementing Apps), QRadar App Framework a IBM App Exchange
• Context Explorer, Risk Analyzer a integrace threat intelligence
• Model dat: Hosté, Zařízení, Protokoly a Kategorie v QRadaru

1.4 Ekosystém QRadar

• IBM QRadar SOAR: integrace orchestrace bezpečnosti a automatizované reakce
• IBM QRadar EDR: integrace detekce a reakce na koncových bodech
• Integrace Threat Intelligence (VTI feeds, vlastní threat feeds)
• Integrace se SIEM nástroji: Splunk, Elastic SIEM, IBM QRadar (správa log zdrojů)

1.5 Integrace s sadou IBM Security

• Integrace IBM QRadar SOAR pro automatizaci a orchestraci playbooků
• Integrace IBM QRadar EDR pro telemetii koncových bodů
• Integrace IBM QRadar VTI (Vulnerability and Threat Intelligence)
• Aplikace a doplňky IBM QRadar App Exchange
• Integrace IBM QRadar Network Integration Platform (NFI)

Kompetence v souladu s trhem: Základy SIEM, Security Information and Event Management, Architektura platformy IBM QRadar, Nasazení QRadar on-Prem, Architektura QRadar Cloud, Bezpečnost Hybrid Cloudu, SOC Operations a SIEM, Bezpečnostní analýza, Integrace XDR, Integrace platformy SOAR, Platforma threat intelligence (TIP), Mapování rámce MITRE ATT&CK, Konvergence bezpečnostních nástrojů, Architektura podnikové bezpečnosti, Správa logů a analýza, Škálovatelnost a kapacitní plánování SIEM, Konfigurace vysoce dostupné (HA), Navigace a konfigurace konzole QRadaru

Modul 2: Správa logových zdrojů, ingest dat a normalizace

Hluboký pohled do konfigurace logových zdrojů, strategií sběru dat, normalizace logů a protokolů nezbytných pro zajištění podnikové bezpečnostní viditelnosti napříč infrastrukturami on-prem, cloud a hybrid.

2.1 Konfigurace logového zdroje a protokoly

• Metody sběru logů: Syslog (RSYSLOG), Network Connections (CEF), Common Event Format (CEF) a QRadar Common Event Format (CEF)
• Protokol CEF: hlavička, názvy rozšíření, vlastní rozšíření a mapování CEF-to-CEF
• Sběr logů založený na síti: NetFlow v5/v9, IPFIX (sFlow)
• Sběr založený na agentovi (IBM QRadar Agent) pro viditelnost koncových bodů
• Konfigurace logových zdrojů Active Directory, DNS, DHCP, HTTP, SMTP a databází
• Best practices nasazení logových zdrojů: zdroje s vysokým throughputem, komprese a šifrování

2.2 Ingest dat a kapacitní plánování

• Pochopení denního objemu logových souborů (GLP) a kapacity ingestu denních událostí
• Politiky retence dat a řízení retence založené na kompliance požadavcích
• Prioritizace logových zdrojů a filtrování událostí pro kontrolu nákladů
• Kapacitní plánování pro enterprise-SIAM nasazení
• Výpočty sizing a optimalizace výkonu pro prostředí velkého rozsahu

2.3 Normalizace a klasifikace logů

• Engine normalizace QRadaru: mapování nativních formátů logů na protokoly QRadaru
• Správce vlastností logového zdroje a mapování protokolů
• Vytváření vlastních logových zdrojů pro proprietární protokoly
• Mapování událostí, toků a logových zdrojů
• Pravidla normalizace a řešení problémů při parsování

Kompetence v souladu s trhem: Správa logových zdrojů, Konfigurace Syslog, Protokol CEF, Síťové připojení (CEF), Nasazení agenta QRadaru, Sběr logů Active Directory, Sběr logů DNS a DHCP, Sběr logů HTTP/S a SMTP, Integrace sběru logů databáze (CEF), Sběr NetFlow a IPFIX, Nasazení SIEM bez agenta, Strategie sběru podnikových logů, Normalizace logů, Mapování protokolů, Konfigurace vlastního logového zdroje, Parsování a klasifikace událostí, Odhad denního objemu logů (DLV), Kapacitní plánování SIEM, Tuning výkonu pro rozsáhlé SIEM, Retence dat založená na kompliance

Modul 3: Detekce, korelace a vývoj pravidel

Jádro operací SIEM: vytváření, testování a správa detekčních pravidel od jednoduchých pravidel událostí po komplexní složitá korelační pravidla identifikující útoky, anomálie a porušení politik.

Jádro operací SIEM: vytváření, testování a správa detekčních pravidel od jednoduchých pravidel událostí po komplexní složitá korelační pravidla identifikující útoky, anomálie a porušení politik.

3.1 Pravidla událostí a agregace

• Pravidla událostí: filtrování, extrakce polí a vytváření vlastních atributů z surových událostí
• Pravidla agregace: počítání a seskupování událostí podle IP, protokolu, uživatele atd.
• Akce pravidel agregace: notifikace, prahové hodnoty počtů a vlastnosti
• Aktivace pravidel, pořadí pravidel a logika provádění pravidel

3.2 Složitá korelační pravidla

• Vytváření složitých korelačních pravidel: spojení dat z více zdrojů
• Druhy pravidel: Událost, Agregace a Složité Korelace
• Komponenty složitých pravidel: spouštěče (triggers), agregace, korelace a akce
• Logika korelace: časová korelace, prahová korelace a kontextuální korelace
• Vlastnosti predikčních a korelačních pravidel: úrovně důvěryhodnosti, závažnost a eskalace
• Písání účinných korelačních pravidel: vyhýbání se „alert fatigue“ a zajištění kvality signálu

3.3 Detekční pravidla pro techniky MITRE ATT&CK

• Pravidla mapovaná na techniky MITRE ATT&CK: Počáteční přístup, Vykonání, Perzistence, Eskalace oprávnění, Únik obrany, Přístup k pověřovacímu údaje, Objevování, Příčný pohyb, Sběr, Command and Control (C2), Exfiltrace
• Vlastní detekce pro specifické kategorie útoků:
• Pravidla pro: Brute Force, Skenování portů, Komunikace malware, Hrozba zvnitř, Příčný pohyb, Eskalace oprávnění, Exfiltrace dat, Command-and-Control (C2)
• Pravidla pro: Brute-force neúspěšná přihlášení, Skenování portů, SQL Injection, DNS Tunneling, Eskalace oprávnění, Příčný pohyb přes Pass-the-Hash

3.4 Lov hrozeb s pravidly QRadaru

• Proaktivní metodika lovu hrozeb pomocí QRadaru
• Vytváření pravidel pro detekci neznámých/nově objevovaných (zero-day) hrozeb
• Pravidla analýzy chování a detekce odchylek od baseline

Kompetence v souladu s trhem: Vývoj pravidel událostí, Vytváření pravidel agregace, Vývoj složitých korelačních pravidel, Návrh vlastních korelačních pravidel, Mapování MITRE ATT&CK, Inženýrství detekce hrozeb, Mapování techniki útoků (Počáteční přístup, Vykonání, Perzistence, Eskalace oprávnění, Únik obrany, Přístup k pověřovacímu údaje, Objevování, Příčný pohyb, Sběr, Command and Control, Exfiltrace), Detekce komunikace malware, Detekce SQL Injection, Detekce DNS Tunneling, Pravidlo eskalace oprávnění, Detekce Brute Force, Detekce příčného pohybu, Detekce hrozby zvnitř, Detekce exfiltrace dat, Detekce Command-and-Control (C2), Řízení alert fatigue, Tuning a optimalizace pravidel, Inženýrství detekčních pravidel SOC, Proaktivní lov hrozeb

Modul 4: Engine incidentů QRadaru a vyšetřování incidentů

Kryje engine incidentů QRadaru v hloubce: vytváření incidentů, pracovní postupy vyšetřování, analýza kontextu, řízení false positive, triáž a řešení incidentů.

4.1 Engine incidentů

• Vytváření incidentů, agregace a správa životního cyklu
• Vlastnosti incidentu: závažnost, důvěryhodnost, status a přiřazení/atribuce
• Logika agregace incidentů: seskupování souvisejících událostí do smysluplných incidentů
• Eskalace incidentu, přiřazení a řízení pracovních postupů

4.2 Vyšetřování incidentů a analýza kontextu

• Context Explorer pro hlubokou analýzu událostí a rekonstrukci časové osy
• Analýza časové osy událostí: chronologická rekonstrukce bezpečnostních incidentů
• Analýza IP adres obohacení o reputaci (Threat Intel)
• Kontext uživatele a aktiv: aktivita uživatele, inventář hostitelů a analýza rizik aktiva
• Korelační události v pohledech detailů incidentu a události
• Korelace událostí, seskupení událostí a sběr důkazů

4.3 Integrace threat intelligence

• Integrace feeds Vulnerability and Threat Intelligence (VTI)
• Automatizované obohacení threat inteligence pomocí IBM QRadar VTI
• Nahrávání vlastních threat feedů a profily útočníků
• Kontext threat intelligence v incidentech a analýze rizik

4.4 Řízení false positive a tuning pravidel

• Identifikace a klasifikace false positive v enginu incidentů
• Pravidla potlačení false positive a pracovní postupy
• Tuning pravidel: snižování šumu při zachování citlivosti detekce
• Dokumentace incidentů false positive pro nepřetržité zlepšování

Kompetence v souladu s trhem: Řížení enginu incidentů QRadaru, Vyšetřování a analýza incidentu, Vyšetřování hrozeb, Používání Context Explorer, Analýza časové osy událostí, Analýza reputation IP, Analýza rizik aktiva, Obohacení threat inteligence, Integrace VTI feeds, Řízení false positive, Tuning alertů a snižování šumu, Prací postup reakce SOC na incident, Životní cyklus bezpečnostního incidentu, Analýza indikátorů kompromitace (IoC), Cyber Threat Attribution

Modul 5: Správa zranitelností QRadaru (QVM) a Risk Manager (QRM)

Hluboký pohled do IBM QVM: integrace skenování zranitelností, priorizace zranitelností založená na riziku, konfigurace správy rizik a hodnocení bezpečnostního postavení řízené riziky.

5.1 IBM QRadar Vulnerability Manager (QVM)

• Architektura QVM: integrace se skenery Nessus, Qualys a Rapid7
• Pracovní postupy skenování zranitelností a plánování skenů
• Parsing výsledků hodnocení zranitelnosti a integrace s QRadarem
• Korelace skóre CVSS a klasifikace závažnosti zranitelnosti
• Analýza trendů zranitelností a priorizace oprav

5.2 IBM QRadar Risk Manager (QRM)

• Architektura QRM: engine výpočtu rizika a metodologie skórování rizik
• Konfigurace pravidel rizika: kritičita aktiva, pravděpodobnost vykořisťování zranitelnosti, profily rizik aktiva
• Výpočet skóre rizika: kombinování dat o zranitelnostech, threat intel, datech incidentů a hodnotě aktiva
• Ranking aktiv na základě rizika a konfigurace dashboardu rizik
• Priorizace aktiv řízená riziky a priorizace oprav řízená riziky

Kompetence v souladu s trhem: Hodnocení a správa zranitelností, IBM QRadar Vulnerability Manager (QVM), Korelace skóre CVE, Integrace skenování zranitelností, Integrace Qualys/Nessus, Priorizace zranitelností na základě rizika, IBM QRadar Risk Manager (QRM), Výpočet skóre rizika, Hodnocení kriticity aktiva, Opravy řízené riziky, Konfigurace dashboardu rizik, Analýza trendů zranitelností, Podniková správa zranitelností, Podnikové hodnocení a řízení rizik

Modul 6: QRadar SOAR, automatizace a reakce na incidenty

Kryje IBM QRadar SOAR (Security Orchestration, Automation, and Response), orchestraci playbooků, automatizaci runbooků a automatizaci reakce na incidenty nezbytnou pro moderní SOC operace.

6.1 Přehled IBM QRadar SOAR

• Orchestrace bezpečnosti a automatizovaná reakce: definice a přínos
• Architektura a komponenty QRadar SOAR: playbooky, incidenty, akce automatizace a datové akce
• Integrace QRadar SOAR: propojení SIEM, EDR, threat intelligence a systémů pro správu požadavků (ServiceNow, Jira)
• SOAR vs. tradiční automatizace: orchestrace pracovního postupu řízeného playbooky

6.2 Návrh a provádění playbooků

• Vytváření playbooků: budování automatizovaných workflow vyšetřování a reakce
• Spouštěče playbooků: vytvoření incidentu, spouštění pravidel a manuální aktivace
• Akce playbooků: obohacení IP adres, blokování IP, vytváření tiketů, dotazování se threat feeds
• Podmínky a logic branching playbooků

6.3 Automatizace reakce na incidenty

• Automatizovaná reakce na incident: od alertu k izolaci do minut
• Automatizovaný lov hrozeb: vyšetřování hrozeb řízené playbooky
• Automatizovaná izolace incidentu: blokování IP, izolace koncového bodu a pozastavení účtů
• Workflow automatizované reakce na ransomware, phishing, brute-force útoky a hrozby zvnitř

6.4 Integrace se systémy mimo platformu

• Integrace QRadar SOAR se ServiceNow, Jira, Slack, e-mailem a systémy založenými na webhookech
• Vlastní API integrace s platformami threat intelligence
• EDR integrace pro automatizované akce na koncových bodech
• Automatizace analýzy payloadu (soubory, URL, domény)

Kompetence v souladu s trhem: Bezpečnostní orchestrace, Automatizace AI a reakce (SOAR), IBM QRadar SOAR, Automatizace playbooků, Návrh runbooků, Orchestrace automatizovaných workflow reakce na incidenty, Automatizace bezpečnosti řízená API, Integrace threat intelligence, Automatizace izolace incidentu, Automatizovaná analýza hrozeb, Integrace ServiceNow pro bezpečnost, Automatizace systémů správy požadavků, Automatizace reakce koncových bodů, Automatizace černých seznamů IP, Automatizace reakce na phishing, Automatizace reakce na ransomware

Modul 7: Forenzní analýza QRadaru, síťová forenzní analýza a analýza dat

Kryje IBM QRadar Incident Forensics (QRIF) a schopnosti forenzního vyšetřování, síťovou forenzní analýzu (NFI) pro analýzu zachycení paketů a techniky forenzní analýzy používané při vyšetřování incidentů.

7.1 IBM QRadar Forensics (QRIF)

• QRIF: sběr a uložení dat pro účely forenzního vyšetřování
• Zdroje forenzních dat: zachycení paketů, logy událostí a koncová forenzní analýza
• Forenzní analýza: rekonstrukce časové osy, analýza souborů a síťová forenzní analýza
• Zachování forenzních důkazů a řetězce custody
• Nástroje a techniky forenzní analýzy uvnitř QRIF

7.2 Síťová forenzní analýza a inspekce (NFI)

• Síťová forenzní analýza: analýza zachycení paketů a inspekce síťové komunikace
• Analýza dat toků: NetFlow, sFlow a IPFIX v síťové forenzní analýze QRadaru
• Analýza protokolů: HTTP, DNS, SMTP, SSH, FTP a inspekce vlastních protokolů
• Detekce hrozeb prostřednictvím síťové forenzní analýzy: beaconing C2, exfiltrace dat a detekce příčného pohybu
• Identifikace podezřelých vzorů provozu

7.3 Analýza chování uživatelů a entit (UEBA)

• UEBA: pochopení baseline chování uživatele a detekce anomálií
• Zdroje dat UEBA: Active Directory, proxy logy, logy koncových bodů, DLP logy, authentizační logy, cloud logy
• Skórování UEBA: skóre rizika uživatele a skóre rizika entity
• Detekce hrozeb řízená UEBA: kompromitované účty, hrozby zvnitř a exfiltrace dat

Kompetence v souladu s trhem: QRadaru Incident Forensics (QRIF), Sběr forenzních dat, Vyšetřování a analýza forenzních dat, Síťová forenzní analýza, Analýza zachycení paketů, Analýza dat toků, Detekce hrozeb prostřednictvím síťové forenzní analýzy, Analýza chování uživatelů a entit (UEBA), Detekce anomálií uživatelů, Detekce hrozeb zvnitř, Detekce kompromitovaných účtů, Exfiltrace dat prostřednictvím chování uživatele, Detekce beaconingu C2, Příčný pohyb přes síťovou forenzní analýzu, Digitální forenzní analýza a reakce na incidenty (DFIR), Zachování důkazů a řetězec custody, Analýza protokolů, Forenzní analýza bezpečnostních logů, Lov hrozeb pomocí síťové analytiky

Modul 8: Cloud SIEM, SIEM-as-Code, compliance a operace SIEM

Vyhodnocuje operace IBM QRadaru, škálování, reportování kompliance, integraci cloud SIEM, praktiky detekce jako kód (detection-as-code) a řízení SOC nezbytné pro enterprise-scale nasazení SIEM.

8.1 Operace a správa QRadaru

• Správa QRadaru: role uživatelů, oprávnění a bezpečnostní politiky
• Audit konfigurací QRadaru a přístupových logů
• Plánované reporty a návrh vlastních reportů pro management a compliance
• Plánované úlohy: backup/restore, čištění databáze a údržba
• Konfigurace syslog serveru pro forwardování logů SIEM
• Aktualizace softwaru a správa patchů pro appliance QRadaru

8.2 Reportování kompliance a mapování předpisů

• Požadavky SIEM PCI DSS a reportování kompliance QRadaru
• HIPAA, GDPR, SOX, NIST CSF a ISO 27001 mapování kompliance s reporty QRadaru
• Reportování pro regulační audity: vlastní šablony reportů pro auditory PCI DSS a HIPAA
• Monitoring kompliance v reálném čase a kontinuální dashboardy compliance

8.3 SIEM-as-Code a Infrastructure as Code

• Správa pravidel SIEM řízená verzemi: nasazení pravidel založené na Gitu
• Terraform a Ansible pro provisionování a konfiguraci appliance QRadaru
• CI/CD pipeline pro pravidla SIEM a playbooky
• Automatizace řízená API QRadaru pro nasazení a správu pravidel

8.4 Cloud SIEM a bezpečnost Hybrid Cloudu

• Integrace cloud logových zdrojů: AWS CloudTrail, Microsoft Sentinel, GCP Audit Logs, Azure Monitor
• Strategie nativních cloud SIEM: SIEM pro prostředí SaaS (AWS, Azure, GCP, Office 365, AWS)
• Integrace SIEM microsoft Sentinel, Azure Sentinel, AWS CloudWatch Logs, Google Cloud Logging
• Monitoring identity a přístupu v cloudu: IAM, Active Directory, Entra ID
• Ochrana cloud workloadů a integrace s SIEM

8.5 Detekce hrozeb identity

• Identita jako nová hranice hrozeb: detekce kompromitovaných účtů
• Detekce hrozeb Active Directory: Kerberoasting, AS-REP roasting, útoky Golden/Sid ticket
• Detekce obcházení vícefaktorové autentizace (MFA)
• Monitoring Privileged Identity Management (PIM)

8.6 Monitoring Zero Trust

• Monitoring architektury Zero Trust: identita, zařízení a síťové kontroly
• Monitoring mikrosegmentace a ověřování vynucení politik
• Reportování kompliance Zero Trust prostřednictvím integrace SIEM

8.7 Operace SOC a governance SIEM

• Metry a KPI SOC: MTTR (Mean Time to Respond), MTTD pro monitoring SIEM
• Hodnocení zralosti SOC a zlepšování SOC řízené SIEM
• Governance SIEM: správa pravidel, sledování false positive a nepřetržité zlepšování
• Best practices operačních procesů SIEM: monitoring, alerting a postupy eskalace

Kompetence v souladu s trhem: Správa QRadaru, Operace a řízení SIEM, Řízení kompliance SIEM, Reportování kompliance PCI D SIEM, Kompliance SIEM HIPAA a GDPR, Kompliance SIEM SOX a ISO 27001, Mapování SIEM NIST CSF, Monitoring kontinuální compliance, Vlastní reportování kompliance, SIEM-as-Code a Infrastructure as Code, Terraform pro SIEM, Ansible pro nasazení SIEM, CI/CD pro pravidla SIEM, Automatizace API QRadaru, Integrace Cloud SIEM, SIEM AWS CloudTrail, Integrace Microsoft Sentinel, SIEM GCP Cloud Logging, SIEM Azure Monitor, Integrace SIEM Office 365, Nativen cloud SIEM, Monitoring Zero Trust, Detekce hrozeb IAM, Detekce hrozeb identity, Detekce hrozeb Active Directory, Detekce útoků Kerberos, Monitoring privilegií identity, Bezpečnost vícefaktorové autentizace (MFA), Řízení KPI a metrik SOC, Hodnocení zralosti SOC, Best practices provozu SIEM, Governance reakce na incidenty, Správa životního cyklu pravidel SIEM, Enterprise Governance SIEM

Modul 9: Capstone projekt a scénáře reálných hrozeb

Komplexní praktický capstone simulující podnikové bezpečnostní scénáře včetně detekce hrozeb, vyšetřování a reakce na incidenty pomocí IBM QRadaru.

9.1 Capstone projekt: Scénář podnikové bezpečnosti

• Nastavení simulovaného podnikového prostředí s realistickými logovými zdroji a scénáři útoků
• Nasazení logových zdrojů a konfigurace politik sběru logů
• Vytváření detekčních pravidel mapovaných na MITRE ATT&CK
• Vyšetřování dat skutečných incidentů v QRadaru a provádění forenzní analýzy
• Návrh a nasazení playbooků SOAR pro automatizovanou reakci
• Vytváření reportů kompliance pro PCI DSS, HIPAA a GDPR
• Provádění kapacitního plánování a škálování nasazení SIEM

9.2 Scénáře reálných hrozeb

• Simulované útoky: nasazení ransomware, hrozba zvnitř, příčný pohyb, brute-force útoky, supply chain útoky a phishing
• Detekce ransomware: příčný pohyb, staging dat a detekce příčného pohybu
• Hrozba zvnitř: pokusy o exfiltraci dat a detekce anomálií
• Detekce supply chain útoku: detekce kompromitovaného přístupu dodavatelů
• Odpověď na phishing: automatizované blokování URL a workflow vyšetřování e-mailu
• Lov zero-day hrozeb: detekce neznámých hrozeb pomocí technik lov bez pravidel
• Detekce Advanced Persistent Threat (APT) pomocí UEBA a forenzní analýzy

Kompetence v souladu s trhem: Dodání bezpečnostního Capstone projektu, Simulace enterprise SIEM, Návrh scénářů reálných hrozeb, Nasazení detekčních pravidel MITRE ATT&CK, Vyšetřování incidentu SOC, Návrh playbooků QRadar SOAR, Simulace reakce na ransomware, Detekce hrozby zvnitř, Automatizace reakce na phishing, Detekce supply chain útoku, Lov zero-day hrozeb, Detekce Advanced Persistent Threat (APT), Kapacitní plánování a škálování SIEM, Multi-compliance reporting (PCI DSS, HIPAA, GDPR), Odpověď enterprise na hrozby, Forenzní vyšetřování hrozeb, Obohacení threat intelligence, Automatizovaná izolace incidentu, Simulace operací SOC, Plnohodnotná praxe inženýrství SIEM