correlation-insights

安全事件关联分析洞察

概述

此技能可帮助 SOC 分析师在 ServiceNow Security Operations 产品组合中，将安全事件与相关事件、漏洞和威胁情报进行关联。通过识别共用的入侵指标（IOC）、重叠的时间线和常见攻击媒介，分析师可以发现更大范围的攻击活动，并确定响应工作的优先级。

主要功能：

• 根据共用的可观测指标（IP、域名、文件哈希）交叉关联安全事件
• 将漏洞与安全事件中的活跃利用情况关联起来
• 识别不同时间段内反复出现的攻击模式
• 找出可能属于协同攻击活动的相关事件
• 使用威胁情报数据丰富事件背景信息

使用时机： 在进行活跃事件调查、威胁狩猎或定期审查安全产品组合时，识别看似孤立的事件之间的关联。

前提条件

• 角色： sn_si.analyst、sn_si.admin、sn_ti.reader
• 访问权限： 安全事件（sn_si_incident）、威胁情报（sn_ti_observable）、漏洞响应（sn_vul_vulnerable_item）表
• 插件： 安全事件响应（sn_si）、威胁情报（sn_ti）、漏洞响应（sn_vul）
• 数据： 已填充可观测指标和相关配置项的活跃安全事件

操作步骤

步骤 1：确定锚定事件

检索主要事件及其关键属性，以便进行关联分析。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: sn_si_incident
  query: number=[INCIDENT_NUMBER]
  fields: sys_id,number,short_description,category,subcategory,priority,state,assigned_to,affected_user,cmdb_ci,opened_at,resolved_at,close_notes,business_criticality
  limit: 1

使用 REST：

GET /api/now/table/sn_si_incident?sysparm_query=number=[INCIDENT_NUMBER]&sysparm_fields=sys_id,number,short_description,category,subcategory,priority,state,assigned_to,affected_user,cmdb_ci,opened_at,resolved_at,close_notes,business_criticality&sysparm_limit=1

步骤 2：检索锚定事件的可观测指标

提取与该事件关联的所有威胁可观测指标（IOC）。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: sn_ti_observable
  query: security_incident=[INCIDENT_SYS_ID]
  fields: sys_id,type,value,source,confidence,first_seen,last_seen,threat_score
  limit: 200

使用 REST：

GET /api/now/table/sn_ti_observable?sysparm_query=security_incident=[INCIDENT_SYS_ID]&sysparm_fields=sys_id,type,value,source,confidence,first_seen,last_seen,threat_score&sysparm_limit=200

步骤 3：查找共用可观测指标的事件

搜索共用相同 IP 地址、域名或文件哈希的其他事件。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: sn_ti_observable
  query: value=[OBSERVABLE_VALUE]^security_incident!=[ANCHOR_INCIDENT_SYS_ID]
  fields: sys_id,security_incident,type,value,confidence,first_seen
  limit: 50

使用 REST：

GET /api/now/table/sn_ti_observable?sysparm_query=value=[OBSERVABLE_VALUE]^security_incident!=[ANCHOR_INCIDENT_SYS_ID]&sysparm_fields=sys_id,security_incident,type,value,confidence,first_seen&sysparm_limit=50

步骤 4：关联漏洞数据

识别事件涉及资产上的可利用漏洞。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: sn_vul_vulnerable_item
  query: cmdb_ci=[AFFECTED_CI_SYS_ID]^stateINOpen,Under Investigation
  fields: sys_id,vulnerability,cmdb_ci,state,risk_score,first_found,last_found,cvss_score
  limit: 100

使用 REST：

GET /api/now/table/sn_vul_vulnerable_item?sysparm_query=cmdb_ci=[AFFECTED_CI_SYS_ID]^stateINOpen,Under Investigation&sysparm_fields=sys_id,vulnerability,cmdb_ci,state,risk_score,first_found,last_found,cvss_score&sysparm_limit=100

步骤 5：检查漏洞条目详情，了解 CVE 背景

查询已识别漏洞的 CVE 详情，了解攻击面。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: sn_vul_entry
  query: sys_idIN[VULNERABILITY_SYS_IDS]
  fields: sys_id,cve_id,description,cvss_score,severity,exploit_available,vendor_advisory
  limit: 50

使用 REST：

GET /api/now/table/sn_vul_entry?sysparm_query=sys_idIN[VULNERABILITY_SYS_IDS]&sysparm_fields=sys_id,cve_id,description,cvss_score,severity,exploit_available,vendor_advisory&sysparm_limit=50

步骤 6：按类别和时间范围搜索相关事件

查找相关时间窗口内具有相似攻击类别的事件。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: sn_si_incident
  query: category=[CATEGORY]^opened_atBETWEENjavascript:gs.dateGenerate('2026-03-01','00:00:00')@javascript:gs.dateGenerate('2026-03-19','23:59:59')^sys_id!=[ANCHOR_SYS_ID]
  fields: sys_id,number,short_description,category,subcategory,priority,state,cmdb_ci,opened_at,affected_user
  limit: 50

使用 REST：

GET /api/now/table/sn_si_incident?sysparm_query=category=[CATEGORY]^opened_atBETWEEN2026-03-01 00:00:00@2026-03-19 23:59:59^sys_id!=[ANCHOR_SYS_ID]&sysparm_fields=sys_id,number,short_description,category,subcategory,priority,state,cmdb_ci,opened_at,affected_user&sysparm_limit=50

步骤 7：分析系统日志中的攻击指标

查询 syslog，查找与攻击时间线和来源指标相关的条目。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: syslog
  query: sys_created_onBETWEEN[START_TIME]@[END_TIME]^messageLIKE[OBSERVABLE_VALUE]
  fields: level,message,source,sys_created_on
  limit: 500

使用 REST：

GET /api/now/table/syslog?sysparm_query=sys_created_onBETWEEN[START_TIME]@[END_TIME]^messageLIKE[OBSERVABLE_VALUE]&sysparm_fields=level,message,source,sys_created_on&sysparm_limit=500

步骤 8：编写关联分析摘要并记录发现

使用 MCP：

Tool: SN-Add-Work-Notes
Parameters:
  table_name: sn_si_incident
  sys_id: [ANCHOR_INCIDENT_SYS_ID]
  work_notes: |
    CORRELATION ANALYSIS - [TIMESTAMP]

    Shared Observables Found:
    - IP 203.0.113.50: Also seen in SIR0001234, SIR0001456
    - Domain malicious-c2.example.com: Seen in SIR0001234
    - File hash (SHA256) abc123...: Unique to this incident

    Related Incidents:
    - SIR0001234 (High) - Phishing campaign targeting finance dept
    - SIR0001456 (Medium) - Unauthorized outbound connection

    Vulnerability Overlap:
    - CVE-2025-12345 (CVSS 9.8) - Active on affected CI, exploit available
    - CVE-2025-67890 (CVSS 7.5) - Patched but re-introduced

    Assessment: High confidence these incidents are part of a coordinated
    campaign targeting financial systems via spear-phishing with subsequent
    lateral movement exploiting unpatched vulnerabilities.

    Recommended Actions:
    1. Escalate all correlated incidents to Tier 3
    2. Block identified IOCs at perimeter
    3. Expedite patching for CVE-2025-12345
    4. Initiate threat hunt across all finance department assets

工具用法

工具	用途
SN-Query-Table	检索事件、可观测指标、漏洞和日志
SN-Execute-Background-Script	在大型数据集中运行高级关联分析脚本
SN-Add-Work-Notes	在事件记录中记录关联分析结果
SN-Update-Record	根据分析结果更新事件优先级或类别

最佳实践

• 从高置信度的可观测指标入手， 例如文件哈希和特定 IP，而不是常见端口等宽泛指标
• 使用时间窗口分析 限定关联范围；先从较短的时间范围（24 小时）开始，再视情况扩大
• 验证可观测指标的置信度分数 再进行关联；低置信度指标可能导致错误关联
• 记录所有关联逻辑， 以便其他分析师验证并扩展分析结果
• 考虑进行 MITRE ATT&CK 映射， 以识别攻击阶段并预测后续步骤
• 检查误报模式， 例如可能导致错误关联的共享基础设施（CDN、云 IP）
• 通过“相关记录”列表关联相关事件记录， 保留关联链

故障排除

事件中未发现可观测项

原因： 可观测项可能尚未从 SIEM 摄取，或未手动录入。 解决方案： 直接使用范围更广的查询检查 sn_ti_observable 表。确认 Threat Intelligence 集成处于活动状态并正在摄取数据。

受影响 CI 缺少漏洞数据

原因： 该 CI 近期可能尚未经过扫描，或扫描器集成可能已停用。 解决方案： 查询 sn_vul_vulnerable_item，并移除 CI 筛选条件，检查是否存在扫描数据。确认 Vulnerability Response 插件和扫描器集成处于活动状态。

关联返回的结果过多

原因： 可观测项值范围过宽（例如，常用 DNS 服务器、内部子网范围）。 解决方案： 按可观测项类型和置信度评分筛选。使用 confidenceGT50 限定为置信度较高的指标。

示例

示例 1：关联钓鱼事件

1. 锚定事件 SIR0005678 报告了一封带有恶意附件的钓鱼邮件
2. 提取可观测项：发件人域名、附件哈希值、嵌入的 URL
3. 在 sn_ti_observable 中搜索所有事件中的匹配值
4. 发现过去一周内还有 3 起事件具有相同的发件人域名
5. 检查邮件服务器 CI 的 sn_vul_vulnerable_item，查找相关漏洞
6. 记录调查结果，说明存在针对该组织的钓鱼活动

示例 2：检测横向移动

1. 事件 SIR0009012 报告数据库服务器遭到未授权访问
2. 从可观测项和审计日志中提取源 IP
3. 将源 IP 与其他事件和 syslog 条目进行关联
4. 发现同一 IP 在 2 小时内访问了另外 5 台服务器
5. 交叉比对漏洞数据，查找遭利用的 CVE
6. 将其升级为涉及横向移动的协同入侵事件

相关技能

• security/incident-response - 安全事件处理流程
• secops/post-incident-analysis - 关联后的事件复盘
• secops/incident-summarization - 为利益相关方总结关联事件
• secops/vulnerability-deduplication - 对关联过程中发现的漏洞进行去重
• secops/metrics-analysis - 持续衡量关联效果