IBM Qradar SIEM：初級から上級までのトレーニングコース

モジュール 1：SIEM/基礎知識、アーキテクチャ、エコシステム概要

SIEM（Security Information and Event Management）の基礎知識、IBM QRadar プラットフォームのアーキテクチャ、そのエコシステムとの統合、そして XDR、SOAR、脅威インテリジェンスプラットフォームを含むより広範なセキュリティ分析の状況を包括的に理解します。

1.1 セキュリティ分析と SIEM の基礎

• SIEM の状況：ログ管理からセキュリティ分析への進化
• SIEM vs SOAR vs XDR：セキュリティツールの収束を理解する
• コアな SIEM コンポーネント：ログ収集、正規化、相関分析、アラート
• SOC アナリストのワークフロー：検出、トリアージ、調査、対応
• MITRE ATT&CK フレームワークの概要と SIEM マッピングにおけるその役割

1.2 IBM QRadar プラットフォームのアーキテクチャ

• QRadar オンプレミス環境のアーキテクチャ：イベントプロセッサ、ログマネージャー、コンソール、フロープロセッサ
• QRadar on Cloud：マルチテナントアーキテクチャ、イジェスチョンモデル、スケーラビリティ
• QRadar ハイブリッドクラウド展開：オンプレミスとクラウドの機能の組み合わせ
• 展開オプション：仮想アプライアンス、ハードウェアアプライアンス、SaaS
• 高可用性（HA）とアクティブ-パッシブおよびアクティブ-アクティブ構成

1.3 QRadar コンポーネントとコンソールナビゲーション

• IBM QRadar コンソール：インターフェース概要、ワークスペース、ダッシュボード、ナビゲーション
• 補完アプリ、QRadar App Framework、IBM App Exchange
• コンテキストエクスプローラー、リスクアナライザー、脅威インテリジェンスの統合
• データモデル：QRadar におけるホスト、デバイス、プロトコル、カテゴリ

1.4 QRadar エコシステム

• IBM QRadar SOAR：セキュリティオーケストレーションと自動化レスポンスの統合
• IBM QRadar EDR：エンドポイント検出とレスポンスの統合
• 脅威インテリジェンスの統合（VTI フィード、カスタム脅威フィード）
• SIEM ツールとの統合：Splunk、Elastic SIEM、IBM QRadar（ログソース管理）

1.5 IBM Security Suite との統合

• IBM QRadar SOAR との統合による自動化とプレイブックのオーケストレーション
• IBM QRadar EDR との統合によるエンドポイントテレメトリ
• IBM QRadar VTI（Vulnerability and Threat Intelligence）との統合
• IBM QRadar App Exchange アプリとアドオン
• IBM QRadar Network Integration Platform (NFI) との統合

市場整合性のあるコンピテンシー： SIEM 基礎知識、セキュリティ情報およびイベント管理、IBM QRadar プラットフォームアーキテクチャ、QRadar オンプレミス展開、QRadar クラウドアーキテクチャ、ハイブリッドクラウドセキュリティ、SOC 運用と SIEM、セキュリティ分析、XDR 統合、SOAR プラットフォーム統合、脅威インテリジェンスプラットフォーム（TIP）、MITRE ATT&CK フレームワークマッピング、セキュリティツールの収束、エンタープライズセキュリティアーキテクチャ、ログ管理及び分析、SIEM スケーラビリティとキャパシティ計画、高可用性（HA）構成、QRadar コンソールナビゲーションと設定

モジュール 2：ログソース管理、データイジェスチョン、正規化

ログソースの設定、データ収集戦略、ログ正規化、そしてオンプレミス、クラウド、ハイブリッド環境全体でエンタープライズ規模のセキュリティ可視化を確立するために必要なプロトコルについて詳しく学びます。

2.1 ログソース設定とプロトコル

• ログ収集方法：Syslog (RSYSLOG)、ネットワーク接続 (CEF)、Common Event Format (CEF)、QRadar Common Event Format (CEF)
• CEF プロトコル：ヘッダー、拡張名、カスタム拡張、CEF-CEF マッピング
• ネットワークベースのログ収集：NetFlow v5/v9、IPFIX (sFlow)
• エンドポイント可視化のためのエージェントベースの収集（IBM QRadar Agent）
• Active Directory、DNS、DHCP、HTTP、SMTP、データベースのログソース設定
• ログソース展開のベストプラクティス：高スループットソース、圧縮、暗号化

2.2 データイジェスチョンとキャパシティ計画

• 1 日あたりのログファイル量（GLP）と 1 日あたりのイベントデータイジェスチョンキャパシティの理解
• データ保存ポリシーとコンプライアンスに基づいた保存管理
• コスト管理のためのログソースの優先順位付けとイベントフィルタリング
• エンタープライズ規模の SIEM 展開のためのキャパシティ計画
• 大規模環境向けのサイズ計算とパフォーマンス最適化

2.3 ログ正規化と分類

• QRadar 正規化エンジン：ネイティブログ形式を QRadar プロトコルにマッピングする
• ログソースプロパティマネージャーとプロトコルマッピング
• プロプライエタリログのためのカスタムログソース作成
• イベント、フロー、ログソースのマッピング
• 正規化ルールとパース問題のトラブルシューティング

市場整合性のあるコンピテンシー： ログソース管理、Syslog 設定、CEF プロトコル、ネットワーク接続（CEF）、QRadar エージェント展開、Active Directory ログ収集、DNS および DHCP ログ収集、HTTP/S および SMTP ログ収集、データベースログ収集（CEF）統合、NetFlow および IPFIX 収集、エージェントレス SIEM 展開、エンタープライズログ収集戦略、ログ正規化、プロトコルマッピング、カスタムログソース設定、イベントパースと分類、1 日あたりのログ量（DLV）推定、SIEM キャパシティ計画、大規模 SIEM 向けのパフォーマンスチューニング、コンプライアンスに基づいたデータ保存

モジュール 3：検出、相関分析、ルール開発

SIEM 運用の中核：攻撃、異常、ポリシー違反を特定するための単純なイベントルールから複雑な複合相関ルールまでの検出ルールの構築、テスト、管理。

SIEM 運用の中核：攻撃、異常、ポリシー違反を特定するための単純なイベントルールから複雑な複合相関ルールまでの検出ルールの構築、テスト、管理。

3.1 イベントルールとアグリゲーションルール

• イベントルール：生イベントからのフィルタリング、フィールド抽出、カスタム属性の作成
• アグリゲーションルール：IP、プロトコル、ユーザーなどによるイベントのカウントとグループ化
• アグリゲーションルールのアクション：通知、カウンタしきい値、カスタムプロパティ
• ルールの有効化、ルールの順序、ルールの実行ロジック

3.2 複合相関ルール

• 複合相関ルールの構築：複数ソースからのデータの結合
• ルートの種類：イベント、アグリゲーション、複合相関
• 複合ルールの構成要素：トリガー、アグリゲーション、相関、アクション
• 相関ロジック：時間的相関、しきい値相関、コンテキスト相関
• 予測と相関ルールのプロパティ：信頼度レベル、重大度、エスカレーション
• 効果的な相関ルールの作成：アラート疲れを回避し、シグナル品質を確保する

3.3 MITRE ATT&CK テクニークのための検出ルール

• MITRE ATT&CK テクニークにマッピングされたルール：Initial Access、Execution、Persistence、Privilege Escalation、Defense Evasion、Credential Access、Discovery、Lateral Movement、Collection、Command and Control (C2)、Exfiltration
• 特定の攻撃カテゴリ向けのカスタム検出：
• 次のためのルール：Brute Force、Port Scanning、Malware Communication、Insider Threat、Lateral Movement、Privilege Escalation、Data Exfiltration、Command-and-Control (C2)
• 次のためのルール：Brute-Force 認証失敗、Port Scanning、SQL Injection、DNS Tunneling、Privilege Escalation、Pass-the-Hash による Lateral Movement

3.4 QRadar ルールによる脅威ハンティング

• QRadar を使用した先行的な脅威ハンティング方法論
• 未知/ゼロデイ脅威検出のためのルール構築
• 動作解析とベースラインからの逸脱検出ルール

市場整合性のあるコンピテンシー： イベントルールの開発、アグリゲーションルールの作成、複合相関ルールの開発、カスタム相関ルールの設計、MITRE ATT&CK マッピング、脅威検出エンジニアリング、攻撃技術のマッピング（Initial Access、Execution、Persistence、Privilege Escalation、Defense Evasion、Credential Access、Discovery、Lateral Movement、Collection、Command and Control、Exfiltration）、マルウェア通信の検出、SQL インジェクションの検出、DNS トンネリングの検出、特権昇格ルール、ブルートフォースの検出、横展開の検出、インサイダー脅威の検出、データ漏洩の検出、Command-and-Control (C2) の検出、アラート疲れの管理、ルールのチューニングと最適化、SOC 検出ルールエンジニアリング、先行的な脅威ハンティング

モジュール 4：QRadar オフェンスエンジンとインシデント調査

QRadar オフェンスエンジンを詳細にカバーします：オフェンスの作成、調査ワークフロー、コンテキスト分析、誤検知の管理、トリアージ、インシデント処理。

4.1 オフェンスエンジン

• オフェンスの作成、集約、ライフサイクル管理
• オフェンスのプロパティ：重大度、信頼度、ステータス、属性
• オフェンス集約ロジック：関連するイベントを意味のあるインシデントにグループ化
• オフェンスのエスカレーション、割り当て、ワークフロー管理

4.2 インシデント調査とコンテキスト分析

• イベントの深層分析とタイムライン再構築のための Context Explorer
• イベントタイムライン分析：セキュリティインシデントの時系列再構築
• IP アドレスの分析と評判（Threat Intel）の強化
• ユーザーとアセットのコンテキスト：ユーザー活動、ホストインベントリ、アセットリスク分析
• オフェンスとイベント詳細ビュー内の相関イベント
• イベントの相関、イベントのグループ化、証拠の収集

4.3 脅威インテリジェンスの統合

• Vulnerability and Threat Intelligence (VTI) フィードの統合
• IBM QRadar VTI による自動化された脅威インテリジェンスの強化
• カスタム脅威フィードのアップロードと脅威アクターのプロファイル
• オフェンスとリスク分析における脅威インテリジェンスコンテキスト

4.4 誤検知の管理とルールのチューニング

• オフェンスエンジンにおける誤検知の特定と分類
• 誤検知の抑制ルールと抑制ワークフロー
• ルールのチューニング：検出感度を維持しながらノイズを削減
• 継続的な改善のための誤検知インシデントの文書化

市場整合性のあるコンピテンシー： QRadar オフェンスエンジンの管理、インシデント調査と分析、脅威調査、Context Explorer の使用、イベントタイムライン分析、IP 評判分析、アセットリスク分析、脅威インテリジェンスの強化、VTI フィードの統合、誤検知の管理、アラートのチューニングとノイズ削減、SOC インシデントレスポンスワークフロー、セキュリティインシデントライフサイクル、侵害指標の分析、サイバー脅威の属性特定

モジュール 5：QRadar Vulnerability Management (QVM) と Risk Manager (QRM)

IBM QVM について詳しく学びます：脆弱性スキャンの統合、リスクベースの脆弱性の優先順位付け、リスク管理の設定、リスク主導のセキュリティ姿勢の評価。

5.1 IBM QRadar Vulnerability Manager (QVM)

• QVM アーキテクチャ：Nessus、Qualys、Rapid7 スキャナーとの統合
• 脆弱性スキャンワークフローとスキャンのスケジューリング
• 脆弱性評価結果のパースと QRadar への統合
• CVSS スコアの相関と脆弱性の重大度分類
• 脆弱性のトレンド分析と是正の優先順位付け

5.2 IBM QRadar Risk Manager (QRM)

• QRM アーキテクチャ：リスク計算エンジンとリスクスコアリング方法論
• リスクルールの設定：アセットのクリティカルリティ、脆弱性の悪用可能性、アセットリスクプロファイル
• リスクスコアの計算：脆弱性データ、脅威インテリジェンス、オフェンスデータ、アセット価値の組み合わせ
• リスクベースのアセットランキングとリスクダッシュボードの設定
• リスク主導のアセットの優先順位付けとリスク主導の是正の優先順位付け

市場整合性のあるコンピテンシー： 脆弱性評価と管理、IBM QRadar Vulnerability Manager (QVM)、CVE スコアの相関、脆弱性スキャンの統合、Qualys/Nessus 統合、リスクベースの脆弱性の優先順位付け、IBM QRadar Risk Manager (QRM)、リスクスコアの計算、アセットクリティカルリティ評価、リスク主導の是正、リスクダッシュボード設定、脆弱性トレンド分析、エンタープライズ脆弱性管理、エンタープライズリスク評価と管理

モジュール 6：QRadar SOAR、自動化、インシデントレスポンス

IBM QRadar SOAR (Security Orchestration, Automation, and Response)、プレイブックのオーケストレーション、ランブックの自動化、そして現代的な SOC 運用に不可欠なインシデントレスポンスの自動化について学びます。

6.1 IBM QRadar SOAR 概要

• セキュリティオーケストレーションと自動化レスポンス：定義と価値
• QRadar SOAR アーキテクチャとコンポーネント：プレイブック、インシデント、自動化アクション、データアクション
• QRadar SOAR 統合：SIEM、EDR、脅威インテリジェンス、チケットシステム（ServiceNow、Jira）との接続
• SOAR と従来の自動化：プレイブック主導のワークフローオーケストレーション

6.2 プレイブック設計と実行

• プレイブックの作成：自動化された調査とレスポンスワークフローの構築
• プレイブックのトリガー：オフェンスの作成、ルートのトリガー、手動起動
• プレイブックのアクション：IP アドレスの強化、IP ブロック、チケット作成、脅威フィード照会
• プレイブックの条件と分岐ロジック

6.3 インシデントレスポンスの自動化

• 自動化されたインシデントレスポンス：アラートから数分以内の封止へ
• 自動化された脅威ハンティング：プレイブック主導の脅威調査
• 自動化されたインシデント封止：IP ブロック、エンドポイントの分離、アカウントの停止
• ランサムウェア、フィッシング、ブルートフォース攻撃、インサイダー脅威のための自動化されたインシデントレスポンスワークフロー

6.4 外部システムとの統合

• QRadar SOAR の ServiceNow、Jira、Slack、メール、Webhook ベースのシステムとの統合
• 脅威インテリジェンスプラットフォームとのカスタム API 統合
• 自動化されたエンドポイントアクションのための EDR 統合
• ペイロード分析（ファイル、URL、ドメイン）の自動化

市場整合性のあるコンピテンシー： セキュリティオーケストレーション、AI 自動化とレスポンス（SOAR）、IBM QRadar SOAR、プレイブックの自動化、ランブック設計、自動化されたインシデントレスポンスワークフローのオーケストレーション、API 駆動のセキュリティ自動化、脅威インテリジェンスの統合、インシデント封止の自動化、自動化された脅威分析、セキュリティ向け ServiceNow 統合、チケットシステムの自動化、エンドポイントレスポンスの自動化、自動化された IP ブラックリスト登録、フィッシングレスポンスの自動化、ランサムウェアレスポンスの自動化

モジュール 7：QRadar フォレンジクス、ネットワークフォレンジクス、データ分析

IBM QRadar Incident Forensics (QRIF) とフォレンジック調査機能、パケットキャプチャ分析のためのネットワークフォレンジクス (NFI)、そしてインシデント調査で使用されるフォレンジック分析技術について学びます。

7.1 IBM QRadar Forensics (QRIF)

• QRIF：調査のためのフォレンジックデータの収集とストレージ
• フォレンジックデータソース：パケットキャプチャ、イベントログ、エンドポイントフォレンジクス
• フォレンジック分析：タイムライン再構築、ファイル分析、ネットワークフォレンジック分析
• フォレンジック証拠の保存とカストディチェーン（証拠の連鎖）
• QRIF 内のフォレンジック分析ツールと技術

7.2 ネットワークフォレンジクスと検査 (NFI)

• ネットワークフォレンジクス：パケットキャプチャ分析とネットワークトラフィック検査
• フローデータ分析：QRadar ネットワークフォレンジクスにおける NetFlow、sFlow、IPFIX
• プロトコル分析：HTTP、DNS、SMTP、SSH、FTP、カスタムプロトコルの検査
• ネットワークフォレンジクスを通じた脅威検出：C2 ビーコン、データ漏洩、横展開の検出
• 疑わしいトラフィックパターンの特定

7.3 ユーザーとエンティティの行動分析 (UEBA)

• UEBA：ユーザー行動ベースラインと異常検出の理解
• UEBA データソース：Active Directory、プロキシログ、エンドポイントログ、DLP ログ、認証ログ、クラウドログ
• UEBA スコアリング：ユーザーリスクスコアとエンティティリスクスコア
• UEBA 主導の脅威検出：侵害されたアカウント、インサイダー脅威、データ漏洩

市場整合性のあるコンピテンシー： QRadar Incident Forensics (QRIF)、フォレンジックデータ収集、フォレンジック調査と分析、ネットワークフォレンジクス、パケットキャプチャ分析、フローデータ分析、ネットワークフォレンジクスを通じた脅威検出、ユーザーとエンティティの行動分析（UEBA）、ユーザー異常検出、インサイダー脅威検出、侵害されたアカウントの検出、ユーザー行動によるデータ漏洩、C2 ビーコン検出、ネットワークフォレンジクスによる横展開検出、デジタルフォレンジクスとインシデントレスポンス（DFIR）、証拠の保存とカストディチェーン、プロトコル分析、セキュリティログフォレンジクス、ネットワーク分析による脅威ハンティング

モジュール 8：クラウド SIEM、SIEM-as-Code、コンプライアンス、SIEM 運用

エンタープライズ規模の SIEM 展開に不可欠な IBM QRadar の運用、スケーリング、コンプライアンスレポート、クラウド SIEM 統合、Detection-as-Code プラクティス、SOC ガバナンスを評価します。

8.1 QRadar 運用と管理

• QRadar の管理：ユーザーロール、権限、セキュリティポリシー
• QRadar の設定とアクセスログの監査
• 経営陣とコンプライアンス向けのスケジューリングレポートとカスタムレポート設計
• スケジュールタスク：バックアップ/リストア、データベースクリーンアップ、メンテナンス
• SIEM ログ転送のための Syslog サーバー設定
• QRadar アプライアンスのソフトウェア更新とパッチ管理

8.2 コンプライアンスレポートと規制マッピング

• PCI DSS SIEM 要件と QRadar コンプライアンスレポート
• HIPAA、GDPR、SOX、NIST CSF、ISO 27001 への QRadar レポートによるコンプライアンスマッピング
• 規制監査レポート：PCI DSS と HIPAA 監査人向けのカスタムレポートテンプレート
• リアルタイムコンプライアンス監視と継続的コンプライアンスダッシュボード

8.3 SIEM-as-Code と Infrastructure as Code

• バージョン管理された SIEM ルール管理：Git ベースのルールデプロイ
• QRadar アプライアンスのプロビジョニングと設定のための Terraform と Ansible
• SIEM ルールとプレイブックの CI/CD パイプライン
• ルールデプロイと管理のための QRadar API 駆動の自動化

8.4 クラウド SIEM とハイブリッドクラウドセキュリティ

• クラウドログソースの統合：AWS CloudTrail、Microsoft Sentinel、GCP Audit Logs、Azure Monitor
• クラウドネイティブ SIEM 戦略：SaaS 環境向け SIEM（AWS、Azure、GCP、Office 365、AWS）
• Microsoft Sentinel、Azure Sentinel、AWS CloudWatch Logs、Google Cloud Logging SIEM 統合
• クラウドアイデンティティとアクセス監視：IAM、Active Directory、Entra ID
• クラウドワークロード保護と SIEM 統合

8.5 アイデンティティ脅威検出

• アイデンティティが新たな脅威の境界：アカウント侵害の検出
• Active Directory 脅威検出：Kerberoasting、AS-REP roasting、Golden/Sid チケット攻撃
• 多要素認証（MFA）バイパス検出
• 特権アイデンティティ管理（PIM）の監視

8.6 ゼロトラスト監視

• ゼロトラストアーキテクチャの監視：アイデンティティ、デバイス、ネットワークコントロール
• マイクロセグメンテーションの監視とポリシー強制の検証
• SIEM 統合によるゼロトラストコンプライアンスレポート

8.7 SOC 運用と SIEM ガバナンス

• SOC メトリクスと KPI：MTTR（平均応答時間）、SIEM 監視の MTTD
• SOC マチュリティ評価と SIEM 駆動の SOC 改善
• SIEM ガバナンス：ルール管理、誤検知の追跡、継続的な改善
• SIEM 運用ベストプラクティス：監視、アラート、エスカレーション手順

市場整合性のあるコンピテンシー： QRadar 管理、SIEM 運用と管理、SIEM コンプライアンス管理、PCI D SS SIEM コンプライアンスレポート、HIPAA および GDPR SIEM コンプライアンス、SOX および ISO 27001 SIEM コンプライアンス、NIST CSF SIEM マッピング、継続的コンプライアンス監視、カスタムコンプライアンスレポート、SIEM-as-Code と Infrastructure as Code、SIEM 向け Terraform、SIEM デプロイ向け Ansible、SIEM ルール向け CI/CD、QRadar API 自動化、クラウド SIEM 統合、AWS CloudTrail SIEM、Microsoft Sentinel 統合、GCP Cloud Logging SIEM、Azure Monitor SIEM、Office 365 SIEM 統合、クラウドネイティブ SIEM、ゼロトラスト監視、IAM 脅威検出、アイデンティティ脅威検出、Active Directory 脅威検出、Kerberos 攻撃検出、特権アイデンティティ監視、多要素認証（MFA）セキュリティ、SOC KPI とメトリクス管理、SOC マチュリティ評価、SIEM 運用ベストプラクティス、インシデントレスポンスガバナンス、SIEM ルールライフサイクル管理、エンタープライズ SIEM ガバナンス

モジュール 9：キャプストンプロジェクトとリアルワールドの脅威シナリオ

IBM QRadar を使用して、脅威検出、調査、インシデントレスポンスを含むエンタープライズセキュリティシナリオをシミュレートする包括的なハンズオンキャプストンプロジェクト。

9.1 キャプストンプロジェクト：エンタープライズセキュリティシナリオ

• リアルなログソースと攻撃シナリオを含むシミュレートされたエンタープライズ環境の設定
• ログソースのデプロイとログ収集ポリシーの設定
• MITRE ATT&CK にマッピングされた検出ルールの構築
• QRadar でのリアルワールドのオフェンスデータの調査とフォレンジック分析の実行
• 自動化されたレスポンスのための SOAR プレイブックの設計とデプロイ
• PCI DSS、HIPAA、GDPR 向けのコンプライアンスレポートの生成
• キャパシティ計画の実行と SIEM デプロイのスケーリング

9.2 リアルワールドの脅威シナリオ

• シミュレートされた攻撃：ランサムウェアのデプロイ、インサイダー脅威、横展開、ブルートフォース攻撃、サプライチェーン攻撃、フィッシング
• ランサムウェアの検出：横展開、データステージング、横展開検出
• インサイダー脅威：データ漏洩の試みと異常検出
• サプライチェーン攻撃の検出：侵害されたベンダーアクセスの検出
• フィッシングレスポンス：自動化された URL ブロックとメール調査ワークフロー
• ゼロデイ脅威ハンティング：ルールレスハンティング技術による未知の脅威検出
• UEBA とフォレンジック分析を使用した Advanced Persistent Threat (APT) の検出

市場整合性のあるコンピテンシー： キャプストンセキュリティプロジェクトの納品、エンタープライズ SIEM シミュレーション、リアルワールド脅威シナリオの設計、MITRE ATT&CK 検出ルールのデプロイ、SOC インシデント調査、QRadar SOAR プレイブックの設計、ランサムウェアレスポンスシミュレーション、インサイダー脅威検出、フィッシングレスポンスの自動化、サプライチェーン攻撃の検出、ゼロデイ脅威ハンティング、Advanced Persistent Threat (APT) の検出、SIEM キャパシティ計画とスケーリング、マルチコンプライアンスレポート（PCI DSS、HIPAA、GDPR）、エンタープライズ脅威レスポンス、フォレンジック脅威調査、脅威インテリジェンスの強化、自動化されたインシデント封止、SOC 運用シミュレーション、フルスケールの SIEM エンジニアリングプラクティス