به نام خدا

 عنوان دوره : SoC نسخه 1 (SIEM و تحلیل لاگ)

 مدرس : مهدی سقایی

مدت زمان دوره:40 ساعت

نحوه برگزاری دوره: حضوری/ اهواز

سرفصل های دوره:

بخش اول) دیتابیس ElasticSearch ، Logstash و Kibana (راه اندازی سریع SIEM)
(هر کدام از موارد زیر یک مجموعه هستند و دارای زیربخش های مختلف می باشند که جهت خلاصه سازی ذکر نشده اند).

1. نصب و راه اندازی ElasticSearch ، Logstash و Kibana بهمراه تنظیم های اولیه و راه اندازی آزمایشگاه
2. آشنایی کامل با indexing و انواع جستجو در ElasticSearch و اجرای آن ها در چند آزمایشگاه
3. آشنایی و اجرای کامل input ، فیلترینگ و output در Logstash بهمراه چندین آزمایشگاه ها
4. آشنایی با جستجو و گرافیک سازی داده ها در Kibana و تمرین آنها در چندین آزمایشگاه
5. سناریوهای کاربردی

• آزمایشگاه کاربردی با لاگ های فایروال
• آزمایشگاه کاربردی با لاگ های BRO
• آزمایشگاه کاربردی با هشدارهای IDS
• آزمایشگاه کاربردی با Event های ویندوز
• لاگ های کاربردی

بخش دوم) بررسی عمیقتر راه اندازی SIEM

1. معماری SIEM و SOF-ELK و کار با سرویس ها
   1. وضعیت SIEM
   2. برنامه ریزی برای SIEM
   3. گردآوری Log
   4. یکپارچه سازی و تجزیه Log
   5. واسطه های Log
   6. ذخیره سازی Log
   7. هشدار و تحلیل
   8. بررسی سرویس های شبکه در SIEM
   1. سرویس گردآوری Log ها
   10. پربار کردن Log ها
   11. سرویس SMTP در SIEM Logging
   50. سرویس DNS در SIEM Logging
   1000. سرویس HTTP در SIEM Logging
   14. سرویس HTTPS در SIEM Logging
   15. بررسی سرویس ها با SIEM
   16. Logging در ویندوز
   17. Logging در لینوکس
   18. استراتژی گردآوری اطلاعات Endpoint
   19. Event های مورد نیاز
   20. فایروالهای Host-based
   21. Event های Logon
   5. محافظت از OS

2. تحلیل و آنالیز حرفه ای Endpoint
   1. شناسایی و کشف تجهیزات Active
   2. شناسایی و کشف تجهیزات Passive
   3. مانیتورینگ نرم افزار
   4. اسکریپت نویسی
   5. مانیتورینگ ترافیک
   6. مانیتورینگ کاربر
   7. مانیتورینگ پشت صحنه کاربران
   8. هشداردهی متمرکز
   1. هشداردهی SIEM
   10. سیستم های تشخیص نفوذ
   11. ابزارهای تحلیل بیرونی
   50. مدیریت موارد
   1000. تحلیل معکوس
   14. تشخیص TripWire
   15. تحلیل Port-Mortem

3. بخش ششم: آزمایشگاه جامع
   1. کار با component های مختلف SIEM - راه اندازی و استفاده از Alert engine برای تولید یک هشدار
   2. اجرای دستی گردآوری Log ها و فایلها - تولید و اجرای Log Parser ها
   3. شناسایی و حل مشکلات Log Parsing - اجرای غنی سازی و تکمیل Log ها اجرای Correlation بر روی Log ها
   4. استفاده از DNS برای تشخیص لیست سیاه - شناسایی بدافزار توسط اجرای تحلیل رکوردهای DNS
   5. شناسایی استفاده های مشکوک DNS - تولید و استفاده از ویژوال سازی
   6. استفاده از فیلدهای استاندارد HTTP برای شناسایی رخدادهای غیرعادی - استفاده از داده های غنی سازی Log برای فیلتر کردن
   7. شناسایی اسکن وب سرور - در جستجوی تقاضاهای ip غیرعادی
   8. استفاده از داده های غنی سازی Log برای شناسایی استفاده از certificate های مخرب
   1. شناسایی certificate های دارای فیلدهای خراب و معیوب - شناسایی certificate های تولید شده توسط نفوذگرها
   10. ایجاد یک داشبورد برای جستجوی رخدادهای ویندوز - توسعه یک پردازش برای فیلترینگ
   11. درک و اجرای چگونگی شناسایی و فیلتر کردن Log ها - آشنایی با مقدار (value) Log های مانیتورینگ ویندوز
   50. شناسایی تاکتیک های معمول مهاجمان - بدست آوردن دانش در هشدارهای بررسی - شناسایی پشت صحنه Logon های عادی و غیرعادی
   1000. اجرای correlation بر روی رخدادهای ویندوز - اجرای correlation بر روی اطلاعات Active و Passive
   14. ترکیب اسکن های منطقی و credential برای توسعه لیست دارایی های سازمان
   15. چگونگی استفاده از whitelist در پاورشل - تفاوت بین استفاده عادی و غیرعادی در پاورشل - شناسایی دستورات پاورشل و کنترل آنها
   16. تبدیل تکنیک های مبهم سازی نفوذگران به تکنیک های تشخیص
   17. آشنایی با اهمیت داده های NetFlow - شناسایی دستورات رمزنگاری شده و کنترل آنها توسط NetFlow
   18. شناسایی تخطی از policy های کاربر و بایپس کنترلهای امنیتی داخلی - شناسایی و فیلتر کردن معتبر از غیر معتبر
   19. شناسایی context های ارائه شده توسط هشدارها و اهمیت Correlation
   20. شناسایی جابجایی نفوذگر در شبکه – کشف منابع تخریب شده بدون هشدار – تولید گزارش اتفاق های رخ داده
   21. اجرای Log های Tripwire برای گیر انداختن نفوذگران و بدافزارها – استفاده از تکنیک های مختلف جهت شناسایی استفاده های غیر عادی توسط Endpoint
   5. شناسایی گردآوری اطلاعات داخلی توسط نفوذگر
   23. اجرای تست های تشخیص Beacon و پیکربندی flare
   10. اجرای صفر تا صد راه اندازی یک SIEM و NSM (Network Security Monitoring)
   25. طراحی و راه اندازی یک NIDS کامل در شبکه جهت شناسایی تهدیدات
   26. آشنایی کامل با WAF و پیکربندی آن
   1. طراحی و راه اندازی صفر تا صد Syslog در شبکه

• راه اندازی و اجرای کامل Log Management در شبکه