mukul975/correlating-security-events-in-qradar

使用 AQL（Ariel 查询语言）、自定义规则、构建块和违规事件管理，在 IBM QRadar SIEM 中关联网络、端点和应用日志源中的安全事件，以检测多阶段攻击。适用于 SOC 分析师调查 QRadar 违规事件、构建关联规则，或调整检测逻辑以减少误报的场景。

编程协作开发 Agent Agent 技能调研仓库问答 QRadar 事件关联 AQL 查询编写多阶段攻击检测 SOC 告警调优自定义规则构建

技术栈: cursor3.2万+许可证: Apache-2.0开发者: mukul975

Skill 介绍Skill 文件

重要提示：本站仅作 Skill 资源导航与收录，正文以 GitHub 原仓库为准，版权归原项目所有。

在 GitHub 查看 ↗

原文译文

以下为摘要预览，完整内容请查看 GitHub 原文。

Correlating Security Events in QRadar

When to Use

Use this skill when:

SOC analysts need to investigate QRadar offenses and correlate events across multiple log sources
Detection engineers build custom correlation rules to identify multi-stage attacks
Alert tuning is required to reduce false positive offenses and improve signal quality
The team migrates from basic event monitoring to behavior-based correlation

Do not use for log source onboarding or parsing — that requires QRadar administrator access and DSM editor knowledge.

Prerequisites

IBM QRadar SIEM 7.5+ with offense management enabled
AQL knowledge for ad-hoc event and flow queries
Log sources normalized with proper QID mappings (Windows, firewall, proxy, endpoint)
User role with offense management, rule creation, and AQL search permissions
Reference sets/maps configured for whitelist and watchlist management

Workflow

Step 1: Investigate an Offense with AQL

Open an offense in QRadar and query contributing events using AQL (Ariel Query Language):

SELECT DATEFORMAT(startTime, 'yyyy-MM-dd HH:mm:ss') AS event_time,
       sourceIP, destinationIP, username,
       LOGSOURCENAME…

以下为摘要预览，完整内容请查看 GitHub 原文。

在 QRadar 中关联安全事件

使用时机

在以下场景下使用本技能：

SOC 分析师需要调查 QRadar 违规事件，并在多个日志源之间关联事件
检测工程师构建自定义关联规则以识别多阶段攻击
需要进行告警调优，以减少误报违规事件并提升信号质量
团队从基础事件监控迁移到基于行为的关联分析

不适用于日志源接入或解析——这需要 QRadar 管理员权限和 DSM 编辑器相关知识。

先决条件

IBM QRadar SIEM 7.5+ 且已启用违规事件管理功能
具备用于临时事件和流量查询的 AQL 知识
日志源已完成规范化并配置正确的 QID 映射（Windows、防火墙、代理、端点）
用户角色具备违规事件管理、规则创建和 AQL 搜索权限
已配置参考集/参考表（reference sets/maps），用于白名单和监视名单管理

工作流程

步骤 1：使用 AQL 调查违规事件

在 QRadar 中打开违规事件，并使用 AQL（Ariel 查询语言）查询相关事件：

SELECT DATEFORMAT(startTime, 'yyyy-MM-dd HH:mm:ss') AS event_time,
       sourceIP, destinationIP, username,
       LOGSOURCENAME(logSourceId) AS log_source,
       QIDNAME(qid) AS event_name,
       category, magnitude
FROM events
WHERE INOFFENSE(12345)
ORDER BY startTime ASC
LIMIT 500

围绕源 IP 进行扩展，查找所有相关活动：

SELECT DATEFORMAT(startTime, 'yyyy-MM-dd HH:mm:ss') AS event_time,
       destinationIP, destinationPort, username,
       QIDNAME(qid) AS event_name,
       eventCount, category
FROM events
WHERE sourceIP = '192.168.1.105'
  AND startTime > NOW() - 24*60*60*1000
ORDER BY startTime ASC
LIMIT 1000