Аналитик SOC Hack The Box (HTB CDSA) . Часть 1 [HTB Academy]

[Dozhd]

Аналитик SOC. Hack The Box Часть 1 [HTB Academy]
SOC Analyst
Язык: машинный перевод с английского языка на русский


Программа подготовки аналитиков SOC предназначена для новичков в сфере информационной безопасности, стремящихся стать профессиональными аналитиками SOC. Эта программа охватывает основные концепции мониторинга и анализа безопасности, а также обеспечивает глубокое понимание специализированных инструментов, тактики атак и методологии, используемых злоумышленниками. Обладая необходимым теоретическим опытом и выполняя многочисленные практические упражнения, студенты пройдут все этапы анализа безопасности, от анализа трафика и мониторинга SIEM до деятельности в области цифровой криминалистики и реагирования на инциденты (DFIR) и составления отчетов. По завершении этой программы вы получите практические навыки и образ мышления, необходимые для мониторинга инфраструктуры корпоративного уровня и обнаружения вторжений на среднем уровне. Предварительные знания, необходимые для успешной работы по этой программе, можно считать обязательными.

Ключевые темы курса:

Процесс обработки инцидентов
Основы мониторинга безопасности и SIEM
Журналы событий Windows и поиск зла
Введение в поиск угроз и поиск угроз с помощью Elastic
Анализ источников логов и проведение расследований с помощью Splunk
Атаки и защита Windows
Введение в анализ сетевого трафика
Промежуточный анализ сетевого трафика
Работа с системами обнаружения и предотвращения вторжений (IDS/IPS).
Введение в анализ вредоносного ПО
Деобфускация JavaScript
YARA и Sigma для аналитиков SOC
Введение в цифровую криминалистику
Обнаружение атак на Windows с помощью Splunk
Сообщение об инцидентах безопасности
Содержание первой части:

Процесс обработки инцидентов: Обработка инцидентов безопасности стала жизненно важной частью стратегии защиты каждой организации, поскольку атаки постоянно развиваются, а успешные взломы происходят ежедневно. В этом модуле мы рассмотрим процесс обработки инцидента, начиная с самой ранней стадии обнаружения подозрительного события и заканчивая подтверждением взлома и реагированием на него.
Основы мониторинга безопасности и SIEM Этот модуль предоставляет краткий, но всеобъемлющий обзор систем управления информацией и событиями безопасности (SIEM) и Elastic Stack. Он объясняет основные принципы работы центра оперативного управления безопасностью (SOC), рассматривает применение фреймворка MITRE ATT&CK в SOC и знакомит с разработкой запросов SIEM (KQL). Уделяя особое внимание практическим навыкам, студенты научатся разрабатывать сценарии использования и визуализации SIEM с помощью Elastic Stack.
Журналы событий Windows и поиск зла: Этот модуль посвящен изучению журналов событий Windows и их значению для выявления подозрительной активности. В ходе курса мы подробно рассмотрим структуру журналов событий Windows и выделим те записи, которые содержат наиболее ценную информацию для расследований. Модуль также фокусируется на использовании Sysmon и журналов событий для обнаружения и анализа вредоносного поведения. Кроме того, мы рассмотрим трассировку событий для Windows (ETW), объясним ее архитектуру и компоненты, а также приведем примеры обнаружения на основе ETW. Для упрощения процесса анализа мы представим мощный командлет Get-WinEvent.
Введение в поиск угроз и поиск угроз с помощью Elastic: Этот модуль изначально закладывает основу для понимания поиска угроз, начиная с его базового определения и заканчивая структурой команды по поиску угроз. Модуль также углубляется в процесс поиска угроз, подчеркивая взаимосвязь между поиском угроз, оценкой рисков и обработкой инцидентов. Кроме того, модуль разъясняет основы киберугрозовой аналитики (CTI). Он расширяет информацию о различных типах угроз и предлагает рекомендации по эффективной интерпретации отчета об угрозах. Наконец, модуль применяет теорию на практике, демонстрируя, как проводить поиск угроз с использованием стека Elastic. В этом практическом сегменте используются реальные журналы, чтобы предоставить обучающимся практический опыт.
Анализ источников логов и проведение расследований с помощью Splunk: Этот модуль представляет собой всестороннее введение в Splunk, с акцентом на его архитектуру и создание эффективных поисковых запросов на языке SPL (Search Processing Language), ориентированных на обнаружение угроз. Мы научимся проводить расследования с помощью Splunk как инструмента SIEM и разрабатывать поисковые запросы на основе тактики, методов и процедур (TTP) и аналитики для повышения эффективности обнаружения угроз и реагирования на них. В ходе практических упражнений мы научимся идентифицировать и понимать поступающие данные и доступные поля в Splunk. Мы также получим практический опыт использования мощных функций Splunk для мониторинга безопасности и расследования инцидентов.
Атаки и защита Windows: Microsoft Active Directory (AD) на протяжении более 20 лет является ведущим корпоративным пакетом для управления доменами, предоставляя управление идентификацией и доступом, централизованное администрирование доменов, аутентификацию и многое другое. За эти годы, чем больше наши приложения и данные интегрировались с AD, тем более уязвимыми становились для крупномасштабных атак. В этом модуле мы рассмотрим наиболее распространенные и эффективные атаки на среды Active Directory, которые позволяют злоумышленникам осуществлять горизонтальное и вертикальное повышение привилегий в дополнение к горизонтальному перемещению. Одна из основных целей модуля — продемонстрировать методы предотвращения и обнаружения рассматриваемых атак на Active Directory.
Введение в анализ сетевого трафика: Анализ сетевого трафика используется группами безопасности для мониторинга сетевой активности и поиска аномалий, которые могут указывать на проблемы безопасности и функционирования. Специалисты по наступательной безопасности могут использовать анализ сетевого трафика для поиска конфиденциальных данных, таких как учетные данные, скрытые приложения, доступные сегменты сети или другая потенциально конфиденциальная информация, передаваемая «по сети». Анализ сетевого трафика имеет множество применений как для злоумышленников, так и для защитников.
Промежуточный анализ сетевого трафика: Этот модуль, посредством анализа сетевого трафика, оттачивает навыки обнаружения атак на канальном уровне, таких как аномалии ARP и несанкционированные точки доступа, выявления сетевых аномалий, таких как подмена IP-адресов и нарушения рукопожатия TCP, а также обнаружения угроз на прикладном уровне, от уязвимостей в веб-среде до специфических действий DNS.

Дата релиза: 2026
Перевод: перевод с английского языка на русский
Формат: файл PDF



Часть 1 - эта складчина
Часть 2





СКАЧАТЬ

Для просмотра скрытого содержимого вы должны зарегистрироваться