IBM Qradar SIEM: Od začátečníka k pokročilému Počítačový Kurz

Modul 1: SIEM / Fundamenty, architektura a přehled ekosystému

Základní porozumění fundamentům SIEM (Security Information and Event Management), architektuře platformy IBM QRadar, jejímu integraci do ekosystému a širšímu panoramatu bezpečnostních analýz, včetně XDR, SOAR a platforem bezpečnostní inteligence.

1.1 Bezpečnostní analýzy a fundamenty SIEM

• Landškap SIEM: evoluce od správy logů k bezpečnostním analýzám
• SIEM vs. SOAR vs. XDR: pochopení konvergence bezpečnostních nástrojů
• Klíčové komponenty SIEM: sběr logů, normalizace, korelace a upozornění
• Workflow analytika SOC: detekce, triage, vyšetřování a odpověď
• Přehled frameworku MITRE ATT&CK a jeho role v mapování SIEM

1.2 Architektura platformy IBM QRadar

• Architektura QRadar on-premises: Event Processor, Log Manager, Console a Flow Processor
• QRadar on Cloud: multi-tenant architektura, modely ingestu a škálovatelnost
• QRadar Hybrid Cloud nasazení: kombinace on-prem a cloudových funkcí
• Možnosti nasazení: Virtuální aply, Hardwarové aply a SaaS
• Vysoká dostupnost (HA) a konfigurace Active-Passive vs. Active-Active

1.3 Komponenty QRadaru a navigace v konzoli

• Konzola IBM QRadar: přehled rozhraní, pracovní prostory, dashboardy a navigace
• Doplňkové aplikace, QRadar App Framework a IBM App Exchange
• Context Explorer, Risk Analyzer a integrace bezpečnostní inteligence
• Datový model: Hosty, Zařízení, Protokoly a Kategorie v QRadaru

1.4 Ekosystém QRadaru

• IBM QRadar SOAR: integrace bezpečnostní orchestrace a automatizované odpovědi
• IBM QRadar EDR: integrace detekce a reakce na koncových bodech
• Integrace bezpečnostní inteligence (VTI feedy, vlastní threat feedy)
• Integrace s nástroji SIEM: Splunk, Elastic SIEM, IBM QRadar (správa zdrojů logů)

1.5 Integrace s IBM Security Suite

• Integrace IBM QRadar SOAR pro automatizaci a orchestraci playbooků
• Integrace IBM QRadar EDR pro telemetrii koncových bodů
• Integrace IBM QRadar VTI (Vulnerability and Threat Intelligence)
• Aplikace a doplňky z IBM QRadar App Exchange
• Integrace IBM QRadar Network Integration Platform (NFI)

Kompetence zaměřené na trh: Fundamenty SIEM, Security Information and Event Management, Architektura platformy IBM QRadar, Nasazení QRadar On-Prem, Architektura QRadar Cloud, Hybridní cloudová bezpečnost, Operace SOC a SIEM, Bezpečnostní analýzy, Integrace XDR, Integrace platformy SOAR, Platforma bezpečnostní inteligence (TIP), Mapování frameworku MITRE ATT&CK, Konvergence bezpečnostních nástrojů, Podniková bezpečnostní architektura, Správa a analýza logů, Škálovatelnost a plánování kapacity SIEM, Konfigurace vysoké dostupnosti (HA), Navigace a konfigurace konzoly QRadar

Modul 2: Správa zdrojů logů, ingestion dat a normalizace

Důkladné zaměření na konfiguraci zdrojů logů, strategie sběru dat, normalizaci logů a protokoly nezbytné pro zajištění podnikové viditelnosti bezpečnosti napříč on-prem, cloudovými a hybridními prostředími.

2.1 Konfigurace zdrojů logů a protokoly

• Metody sběru logů: Syslog (RSYSLOG), Network Connections (CEF), Common Event Format (CEF) a QRadar Common Event Format (CEF)
• Protokol CEF: hlavička, rozšířená jména, vlastní rozšíření a mapování CEF-na-CEF
• Sběr logů založený na síti: NetFlow v5/v9, IPFIX (sFlow)
• Sběr založený na agentu (IBM QRadar Agent) pro viditelnost koncových bodů
• Konfigurace zdrojů logů pro Active Directory, DNS, DHCP, HTTP, SMTP a databáze
• Doporučené postupy při nasazování zdrojů logů: zdroje s vysokým throughputem, komprese a šifrování

2.2 Ingestion dat a plánování kapacity

• Chápání denního objemu logových souborů (GLP) a denní kapacity ingestionu udalostních dat
• Strategie uchovávání dat a řízení retentionu řízeného compliance
• Prioritizace zdrojů logů a filtrování událostí pro ovládání nákladů
• Plánování kapacity pro SIEM nasazení podnikového měřítka
• Výpočty velikosti a optimalizace výkonu pro velkéměřítková prostředí

2.3 Normalizace a klasifikace logů

• Normalizační engine QRadar: mapování nativních formátů logů na protokoly QRadar
• Správce vlastností zdrojů logů a mapování protokolů
• Vytvoření vlastních zdrojů logů pro proprietární logy
• Mapování událostí, toků a zdrojů logů
• Pravidla normalizace a troubleshooting problémů s analyzováním

Kompetence zaměřené na trh: Správa zdrojů logů, Konfigurace Syslog, Protokol CEF, Network Connections (CEF), Nasazení QRadar Agentu, Sběr logů Active Directory, Sběr logů DNS a DHCP, Sběr logů HTTP/S a SMTP, Sběr logů databází (CEF) integrace, Sběr NetFlow a IPFIX, Agentless nasazení SIEM, Podniková strategie sběru logů, Normalizace logů, Mapování protokolů, Konfigurace vlastních zdrojů logů, Analyzování a klasifikace událostí, Odhady denního objemu logů (DLV), Plánování kapacity SIEM, Vyladění výkonu pro velké SIEM, Retention dat řízený compliance

Modul 3: Detekce, korelace a vývoj pravidel

Jádro operací SIEM: budování, testování a správa detekčních pravidel od jednoduchých pravidel událostí po složité složené korelační pravidla, která identifikují útoky, anomálie a porušení politik.

Jádro operací SIEM: budování, testování a správa detekčních pravidel od jednoduchých pravidel událostí po složité složené korelační pravidla, která identifikují útoky, anomálie a porušení politik.

3.1 Pravidla událostí a agregační pravidla

• Pravidla událostí: filtrování, extrakce polí a vytváření vlastních atributů ze surových událostí
• Agregační pravidla: počítání a seskupování událostí podle IP, protokolu, uživatele atd.
• Akce agregačních pravidel: notifikace, prahové hodnoty počitadla a vlastní vlastnosti
• Aktivace pravidel, řazení pravidel a logika provádění pravidel

3.2 Složená korelační pravidla

• Budování složených korelačních pravidel: spojování dat z více zdrojů
• Typy pravidel: Událost, Agregace a Složená korelace
• Komponenty složených pravidel: spouštěče, agregace, korelace a akce
• Korelační logika: temporální korelace, korelace prahových hodnot a kontextová korelace
• Vlastnosti pravidel předpovědi a korelace: úrovně důvěry, závažnost a eskalace
• Psaní efektivních korelačních pravidel: vyhýbání se únavě z upozornění a zajištění kvality signálu

3.3 Detekční pravidla pro techniky MITRE ATT&CK

• Pravidla namapovaná na techniky MITRE ATT&CK: Počáteční přístup, Exekuce, Perzistence, Zvýšení práv, Odbočení od obrany, Přístup k vědomostem, Objevování, Lateral pohyby, Sběr, Příkazy a kontrola (C2), Exfiltrace
• Vlastní detekce pro specifické kategorie útoků:
• Pravidla pro: Brute Force, Port Scanning, Komunikace malware, Hrozby zvnitřku, Lateral pohyby, Zvýšení práv, Exfiltrace dat, Command-and-Control (C2)
• Pravidla pro: Brute-Force selhání autentizace, Port Scanning, SQL Injection, DNS Tunneling, Zvýšení práv, Lateral pohyby prostřednictvím Pass-the-Hash

3.4 Lov hrozeb pomocí pravidel QRadar

• Metodika proaktivního lovu hrozeb pomocí QRadar
• Budování pravidel pro detekci neznámých/zero-day hrozeb
• Pravidla analýzy chování a detekce odchylek od baseline

Kompetence zaměřené na trh: Vývoj pravidel událostí, Vytváření agregačních pravidel, Vývoj složených korelačních pravidel, Návrh vlastních korelačních pravidel, Mapování MITRE ATT&CK, Inženýrství detekce hrozeb, Mapování technik útoků (Počáteční přístup, Exekuce, Perzistence, Zvýšení práv, Odbočení od obrany, Přístup k vědomostem, Objevování, Lateral pohyby, Sběr, Příkazy a kontrola, Exfiltrace), Detekce komunikace malware, Detekce SQL Injection, Detekce DNS Tunneling, Pravidlo zvýšení práv, Detekce Brute Force, Detekce lateral pohybu, Detekce hrozeb zvnitřku, Detekce exfiltrace dat, Detekce Command-and-Control (C2), Správa únavy z upozornění, Vyladění a optimalizace pravidel, Inženýrství detekčních pravidel SOC, Proaktivní lov hrozeb

Modul 4: Engine incidentů QRadar a vyšetřování incidentů

Zabývá se podrobně engine incidentů QRadar: vytváření incidentů, workflowy vyšetřování, analýza kontextu, správa falešných pozitivních hodnot, triage a zpracování incidentů.

4.1 Engine incidentů

• Vytváření, agregace a správa životního cyklu incidentů
• Vlastnosti incidentů: závažnost, důvěryhodnost, status a atribuce
• Logika agregace incidentů: seskupování souvisejících událostí do smysluplných incidentů
• Eskalace, přiřazení a správa workflowu incidentů

4.2 Vyšetřování incidentů a analýza kontextu

• Context Explorer pro hlubokou analýzu událostí a rekonstrukci časové osy
• Analýza časové osy událostí: chronologická rekonstrukce bezpečnostních incidentů
• Analýza IP adres a reputace (enrichment Threat Intel)
• Kontext uživatelů a aktiv: aktivity uživatele, inventář hostitelů a analýza rizik aktiv
• Korelační události v pohledu na incident a detail události
• Korelace událostí, seskupování událostí a shromažďování důkazů

4.3 Integrace bezpečnostní inteligence

• Integrace feedů Vulnerability and Threat Intelligence (VTI)
• Automatizované enrichment bezpečnostní inteligence pomocí IBM QRadar VTI
• Nahrávání vlastních threat feedů a profilů aktérů hrozeb
• Kontext bezpečnostní inteligence v incidentech a analýze rizik

4.4 Správa falešných pozitivních hodnot a vyladění pravidel

• Identifikace a klasifikace falešných pozitivních hodnot v Engine incidentů
• Pravidla potlačování falešných pozitivních hodnot a workflowy potlačování
• Vyladění pravidel: snižování hluku při zachování citlivosti detekce
• Dokumentace incidentů s falešnými pozitivními hodnotami pro kontinuální zlepšování

Kompetence zaměřené na trh: Správa Engine incidentů QRadar, Vyšetřování a analýza incidentů, Vyšetřování hrozeb, Použití Context Explorer, Analýza časové osy událostí, Analýza reputace IP, Analýza rizik aktiv, Enrichment bezpečnostní inteligence, Integrace VTI feedů, Správa falešných pozitivních hodnot, Vyladění upozornění a snižování hluku, Workflow reakce na incidenty SOC, Životní cyklus bezpečnostního incidentu, Analýza indikátorů kompromitace, Atribuce kybernetických hrozeb

Modul 5: Správa zranitelností QRadar (QVM) a Správce rizik (QRM)

Důkladné zaměření na IBM QVM: integrace skenování zranitelností, priorizace zranitelností na základě rizik, konfigurace správy rizik a hodnocení bezpečnostní pozice řízené riziky.

5.1 IBM QRadar Správce zranitelností (QVM)

• Architektura QVM: integrace se skenery Nessus, Qualys a Rapid7
• Workflowy skenování zranitelností a plánování skenů
• Parsing výsledků hodnocení zranitelností a integrace s QRadar
• Korelace skóre CVSS a klasifikace závažnosti zranitelností
• Analýza trendů zranitelností a priorizace náprav

5.2 IBM QRadar Správce rizik (QRM)

• Architektura QRM: engine výpočtu rizik a metodika skórování rizik
• Konfigurace pravidel rizik: kritičnost aktiv, pravděpodobnost exploitationu zranitelností, profily rizik aktiv
• Výpočet skóre rizika: kombinace dat o zranitelnostech, inteligence hrozeb, dat o incidentech a hodnoty aktiv
• Ranking aktiv na základě rizik a konfigurace dashboardů rizik
• Priorizace aktiv řízená riziky a priorizace náprav řízená riziky

Kompetence zaměřené na trh: Hodnocení a správa zranitelností, IBM QRadar Správce zranitelností (QVM), Korelace skóre CVE, Integrace skenování zranitelností, Integrace Qualys/Nessus, Priorizace zranitelností na základě rizik, IBM QRadar Správce rizik (QRM), Výpočet skóre rizika, Hodnocení kritičnosti aktiv, Řízené riziky nápravy, Konfigurace dashboardů rizik, Analýza trendů zranitelností, Podniková správa zranitelností, Hodnocení a správa podnikových rizik

Modul 6: QRadar SOAR, automatizace a reakce na incidenty

Zabývá se IBM QRadar SOAR (Security Orchestration, Automation, and Response), orchestrací playbooků, automatizací runbooků a automatizací reakce na incidenty nezbytnou pro moderní operace SOC.

6.1 Přehled IBM QRadar SOAR

• Bezpečnostní orchestrace a automatizovaná odpověď: definice a hodnota
• Architektura a komponenty QRadar SOAR: playbooky, incidenty, automatizované akce a datové akce
• Integrace QRadar SOAR: propojování SIEM, EDR, bezpečnostní inteligence a systémů ticketování (ServiceNow, Jira)
• SOAR vs. tradiční automatizace: orchestrace workflowů řízená playbooky

6.2 Návrh a exekuce playbooků

• Vytváření playbooků: budování automatizovaných workflowů pro vyšetřování a odpověď
• Spouštěče playbooků: vytvoření incidentu, spouštěče pravidel a manuální aktivace
• Akce playbooků: enrichment IP adres, blokování IP, vytváření ticketů, dotazování threat feedů
• Podmínky playbooků a větvící logika

6.3 Automatizace reakce na incidenty

• Automatizovaná reakce na incidenty: od upozornění k omezení v minutách
• Automatizovaný lov hrozeb: vyšetřování hrozeb řízené playbookem
• Automatizované omezení incidentů: blokování IP, izolace koncových bodů a pozastavení účtů
• Automatizované workflowy reakce na incidenty pro ransomware, phishing, brute-force útoky a hrozby zvnitřku

6.4 Integrace s externími systémy

• Integrace QRadar SOAR se ServiceNow, Jira, Slack, e-mailem a systémy založenými na webhooku
• Vlastní integrace API s platformami bezpečnostní inteligence
• Integrace EDR pro automatizované akce na koncových bodech
• Automatizace analýzy payloadů (soubor, URL, doména)

Kompetence zaměřené na trh: Bezpečnostní orchestrace, AI Automatizace a Odpověď (SOAR), IBM QRadar SOAR, Automatizace playbooků, Návrh Runbook, Orchestrace automatizovaného workflowu reakce na incidenty, API-řízená bezpečnostní automatizace, Integrace bezpečnostní inteligence, Automatizace omezení incidentů, Automatizovaná analýza hrozeb, Integrace ServiceNow pro bezpečnost, Automatizace systémů ticketování, Automatizace reakce na koncových bodech, Automatizace IP blacklistingu, Automatizace reakce na phishing, Automatizace reakce na ransomware

Modul 7: QRadar Forensika, síťová forensika a analýza dat

Zabývá se QRadar Incident Forensics (QRIF) a forensickými schopnostmi vyšetřování, síťovou forensikou (NFI) pro analýzu zachycených paketů a forensickými techniky analýzy používanými při vyšetřování incidentů.

7.1 IBM QRadar Forensics (QRIF)

• QRIF: sběr a úložiště forensických dat pro vyšetřování
• Zdroje forensických dat: zachycené pakety, logy událostí a forensika koncových bodů
• Forensická analýza: rekonstrukce časové osy, analýza souborů a síťová forensická analýza
• Požehnání forensických důkazů a řetězec uchování důkazů
• Nástroje a techniky forensické analýzy v rámci QRIF

7.2 Síťová forensika a inspekce (NFI)

• Síťová forensika: analýza zachycených paketů a inspekce síťového provozu
• Analýza tokových dat: NetFlow, sFlow a IPFIX v síťové forensice QRadar
• Analýza protokolů: HTTP, DNS, SMTP, SSH, FTP a inspekce vlastních protokolů
• Detekce hrozeb prostřednictvím síťové forensiky: C2 beaconing, exfiltrace dat a detekce lateral pohybu
• Identifikace podezřelých vzorců provozu

7.3 Analýza chování uživatelů a entit (UEBA)

• UEBA: pochopení baseline chování uživatele a detekce anomálií
• Zdroje dat UEBA: Active Directory, proxy logy, logy koncových bodů, logy DLP, autentizační logy, cloudové logy
• Skórování UEBA: skóre rizika uživatele a skóre rizika entity
• Detekce hrozeb řízená UEBA: kompromitované účty, hrozby zvnitřku a exfiltrace dat

Kompetence zaměřené na trh: QRadar Incident Forensics (QRIF), Sběr forensických dat, Forensické vyšetřování a analýza, Síťová forensika, Analýza zachycených paketů, Analýza tokových dat, Detekce hrozeb prostřednictvím síťové forensiky, Analýza chování uživatelů a entit (UEBA), Detekce anomálií uživatele, Detekce hrozeb zvnitřku, Detekce kompromitovaných účtů, Exfiltrace dat prostřednictvím chování uživatele, Detekce C2 Beaconing, Lateral pohyby prostřednictvím síťové forensiky, Digitální forensika a reakce na incidenty (DFIR), Požehnání důkazů a řetězec uchování, Analýza protokolů, Forensika bezpečnostních logů, Lov hrozeb prostřednictvím síťové analýzy

Modul 8: Cloud SIEM, SIEM-as-Code, Compliance a Operace SIEM

Hodnotí operace, škálování, compliance reporting, integraci cloud SIEM, praktiky detection-as-code a SOC governance nezbytné pro nasazení SIEM podnikového měřítka.

8.1 Operace a administrace QRadar

• Administrace QRadar: role uživatelů, oprávnění a bezpečnostní politiky
• Audit konfigurace QRadar a přístupových logů
• Plánované zprávy a návrh vlastních zpráv pro management a compliance
• Plánované úlohy: zálohování/obnova, úklid databáze a údržba
• Konfigurace Syslog serveru pro forwardování logů SIEM
• Aktualizace softwaru a správa záplat pro aply QRadar

8.2 Compliance reporting a mapování regulací

• Požadavky PCI DSS SIEM a compliance reporting QRadar
• Mapování compliance HIPAA, GDPR, SOX, NIST CSF a ISO 27001 s pomocí zpráv QRadar
• Regulační audit reporting: vlastní šablony zpráv pro auditora PCI DSS a HIPAA
• Reálný monitoring compliance a kontinuální compliance dashboardy

8.3 SIEM-as-Code a Infrastructure as Code

• Správa verzovaných SIEM pravidel: deployment pravidel založený na Git
• Terraform a Ansible pro provisioning a konfiguraci apl QRadar
• Pipe CI/CD pro SIEM pravidla a playbooky
• API-řízená automatizace QRadar pro deployment a správu pravidel

8.4 Cloud SIEM a Hybridní cloudová bezpečnost

• Integrace cloudových zdrojů logů: AWS CloudTrail, Microsoft Sentinel, GCP Audit Logs, Azure Monitor
• Cloud-native strategie SIEM: SIEM pro SaaS prostředí (AWS, Azure, GCP, Office 365, AWS)
• Integrace microsoft Sentinel, Azure Sentinel, AWS CloudWatch Logs, Google Cloud Logging SIEM
• Monitorování cloudové identity a přístupu: IAM, Active Directory, Entra ID
• Ochrana cloudových workloadů a integrace SIEM

8.5 Detekce hrozeb pro identitu

• Identita jako nová hranice hrozeb: detekce kompromitace účtu
• Detekce hrozeb Active Directory: Kerberoasting, AS-REP roasting, útoky na zlaté/Sid tickets
• Detekce obejít Multi-factor authentication (MFA)
• Monitorování Privileged Identity Management (PIM)

8.6 Monitorování Zero Trust

• Monitorování Zero Trust architektury: identity, zařízení a síťové kontroly
• Monitorování mikrosegmentace a validace vynucování politik
• Compliance reporting Zero Trust prostřednictvím integrace SIEM

8.7 Operace SOC a Governance SIEM

• Metricky a KPI SOC: MTTR (Průměrný čas reakce), MTTD pro monitoring SIEM
• Hodnocení zralosti SOC a zlepšování SOC řízené SIEM
• Governance SIEM: správa pravidel, sledování falešných pozitivních hodnot a kontinuální zlepšování
• Doporučené postupy pro operace SIEM: monitoring, upozornění a postupy eskalace

Kompetence zaměřené na trh: Administrace QRadar, Operace a správa SIEM, Správa compliance SIEM, Compliance reporting PCI D SIEM, Compliance HIPAA a GDPR SIEM, Compliance SOX a ISO 27001 SIEM, Mapování NIST CSF SIEM, Kontinuální monitoring compliance, Vlastní compliance reporting, SIEM-as-Code a Infrastructure as Code, Terraform pro SIEM, Ansible pro nasazení SIEM, CI/CD pro SIEM pravidla, Automatizace QRadar API, Integrace Cloud SIEM, SIEM AWS CloudTrail, Integrace Microsoft Sentinel, SIEM GCP Cloud Logging, SIEM Azure Monitor, Integrace Office 365 SIEM, Cloud-Native SIEM, Monitorování Zero Trust, Detekce hrozeb IAM, Detekce hrozeb pro identitu, Detekce hrozeb Active Directory, Detekce útoků na Kerberos, Monitorování privilegií identity, Bezpečnost Multi-Factor Authentication (MFA), Správa KPI a metrik SOC, Hodnocení zralosti SOC, Doporučené postupy pro operace SIEM, Governance reakce na incidenty, Správa životního cyklu SIEM pravidel, Podniková governance SIEM

Modul 9: Capstone projekt a reálné scénáře hrozeb

Komplexní praktický capstone simulující podnikové bezpečnostní scénáře včetně detekce hrozeb, vyšetřování a reakce na incidenty pomocí IBM QRadar.

9.1 Capstone projekt: Podnikový bezpečnostní scénář

• Nastavení simulovaného podnikového prostředí s realistickými zdroji logů a scénáři útoků
• Nasazení zdrojů logů a konfigurace politik sběru logů
• Budování detekčních pravidel namapovaných na MITRE ATT&CK
• Vyšetřování reálných dat incidentů v QRadar a provádění forensické analýzy
• Návrh a nasazení SOAR playbooků pro automatizovanou odpověď
• Generování compliance zpráv pro PCI DSS, HIPAA a GDPR
• Provádění plánování kapacity a škálování nasazení SIEM

9.2 Reálné scénáře hrozeb

• Simulované útoky: nasazení ransomware, hrozba zvnitřku, lateral pohyby, brute-force útoky, útoky na dodavatelský řetězec a phishing
• Detekce ransomware: lateral pohyby, příprava dat a detekce lateral pohybu
• Hrozba zvnitřku: pokusy o exfiltrace dat a detekce anomálií
• Detekce útoků na dodavatelský řetězec: detekce kompromitace přístupu dodavatele
• Odpověď na phishing: automatizované blokování URL a workflowy vyšetřování e-mailů
• Lov zero-day hrozeb: detekce neznámých hrozeb pomocí techniky lovu bez pravidel
• Detekce Advanced Persistent Threat (APT) pomocí UEBA a forensické analýzy

Kompetence zaměřené na trh: Dodávka Capstone bezpečnostního projektu, Simulace podnikovéhо SIEM, Návrh reálných scénářů hrozeb, Deployment detekčních pravidel MITRE ATT&CK, Vyšetřování incidentů SOC, Návrh SOAR playbooků QRadar, Simulace odpovědi na ransomware, Detekce hrozeb zvnitřku, Automatizace odpovědi na phishing, Detekce útoků na dodavatelský řetězec, Lov zero-day hrozeb, Detekce Advanced Persistent Threat (APT), Plánování kapacity a škálování SIEM, Multi-compliance reporting (PCI DSS, HIPAA, GDPR), Podniková odpověď na hrozby, Forensické vyšetřování hrozeb, Enrichment bezpečnostní inteligence, Automatizované omezení incidentů, Simulace operací SOC, Plnohodnotná inženýrství SIEM praxe