karansoni8/Karan-s-Portfolio

# Karan Soni — SOC Analyst 作品集 **在线网站：** https://karansoni8.github.io/Karan-s-Portfolio/ **简历：** [karan-soni-resume.pdf](karan-soni-resume.pdf) 蓝队分析师的检测工程作品集。基于一个 七主机的家庭 SOC 实验室构建：我检测什么，如何调整规则，以及——刻意保留的—— 覆盖盲区在哪里。 Oshawa, Ontario · 面向加拿大全境接受混合和远程办公 · 随时可入职。 ## 实验室配置 | 角色 | 平台 | |---|---| | SIEM | Elastic Stack — Elasticsearch、Kibana、Fleet | | 端点遥测 | Sysmon + Elastic Agent | | 网络监控 | Zeek 6.x | | 边界防火墙 | pfSense CE | | 身份认证 | Windows Server AD、AD Certificate Services、Group Policy | | 攻击端 | Kali Linux、Metasploit | | 靶机 | Metasploitable 2 | | 第二平台 | Security Onion 2.4 (EVAL 模式) | | 同步运行 | Splunk Universal Forwarder、Zabbix SNMP | ## 覆盖范围 横跨六种战术映射的 18 项 MITRE ATT&CK 技术： - **9 项检测**已编写并针对实时攻击流量进行测试 - **6 项技术**已收集遥测数据，但规则尚未调优 - **3 个已记录的盲区** — T1204 用户执行、T1558 Kerberos 票据、T1573 加密通道 这些盲区是故意公开的。一个没有盲区的覆盖图是一张没有人审计过的图。 ## 检测规则 每一项规则都经过了编写、降噪调优，然后通过运行 相应的攻击并确认规则成功触发来验证。 | 技术 | 检测规则 | 数据源 | |---|---|---| | T1003.001 | 基于授予的访问掩码而非进程名称过滤 LSASS 句柄访问 | Sysmon EID 10 | | T1059.001 | 限定在 Office 父进程作用域内的编码 PowerShell | Sysmon EID 1 | | T1071.001 | 通过连接间隔方差检测信标（低抖动） | Zeek conn.log | | T1210 | 针对旧版主机的 SMB 漏洞利用尝试 | Zeek notice | | T1543.003 | 域控制器上的服务安装 | Windows Security 7045 | | T1053.005 | 超出两周基线的计划任务创建 | Sysmon EID 1 + 4698 | | T1110 | 基于来源的失败率阈值并关联锁定状态 | Windows Security 4625 | | T1136 | 账户创建与创建会话相关联 | Windows Security 4720 | | T1190 | 针对面向互联网服务的漏洞利用 | Zeek + pfSense | ## 事件推演 一次从头到尾完整追踪的模拟入侵 — 宏执行、未报警的发现、 在 DC 上的凭证访问、通过 SMB 的横向移动 — 每个阶段都附带了分诊决策 以及由此产生的规则更改。已撰写并发布在在线网站上。 ## 背景 - 网络安全研究生证书 — Durham College, Oshawa, ON - 文凭，思科和微软网络管理 — LaSalle College, Montréal, QC - 计算机应用学士 — Parul University, India - 思科网络学院课程证书 — CCNA：企业网络、安全和 自动化，2025 年 1 月 *（网络学院课程证书，非 Cisco 200-301 监考考试 — 200-301 正在单独准备中）* - CompTIA CySA+ (CS0-004) — 考试已安排 ## 联系方式 - sonikaran8899@gmail.com - [linkedin.com/in/karan-soni-4b56a11b4](https://www.linkedin.com/in/karan-soni-4b56a11b4/) ## 仓库内容 ``` index.html the portfolio site karan-soni-resume.pdf one-page resume ``` 静态 HTML，无构建步骤，无依赖。由 GitHub Pages 从 `main` 分支托管。

标签：Elastic Stack, IP 地址批量处理, MIT许可证, SOC分析, XXE攻击, 个人作品集, 后端开发, 多模态安全, 安全运营中心, 搜索语句（dork）, 模拟器, 流量重放, 网络映射