用途：面向 SOC 分析师与检测工程师，在 IBM QRadar SIEM 中关联多日志源事件、调查 offense、构建自定义关联规则，识别暴力破解、横向移动、C2 信标、权限提升、数据外泄等多阶段攻击链。
主要能力：使用 AQL 查询事件、流与 offense，支持 INOFFENSE 按 offense 聚合事件、按源 IP 透视活动；用 LEFT JOIN 将认证事件与网络流关联做跨源关联；通过 building block 复用规则组件，再以关联规则生成 offense 并设置严重度与相关性；用 reference set/map 做白名单与观察名单富化；用 AQL 统计误报来源并调优阈值、启用 offense 合并；通过 QRadar Pulse 构建关联监控仪表盘（活跃 offense 分类、平均关闭时间）。
必要用法：需 QRadar 7.5+ 并启用 offense 管理，日志源有正确 QID 映射，账号具备 offense 管理、规则创建与 AQL 搜索权限。示例流程为：用 AQL 调查 offense（WHERE INOFFENSE(12345)）→ 创建 building block 与关联规则 → 跨源关联 → 配置 reference set（可用 QRadar API：curl -X POST "https://qradar.example.com/api/reference_data/sets" -H "SEC: YOUR_API_TOKEN"）→ 调优误报 → 建 Pulse 仪表盘。
适用场景：暴力破解后成功登录、横向移动链、C2 信标、权限提升、数据外泄等关联检测。
限制：不适用于日志源接入与解析，那需要管理员权限与 DSM 编辑器知识。官方未提供更多收费、许可或效果信息，暂未提供。