LuucasVerdun/letsdefend-soc-walkthroughs
GitHub: LuucasVerdun/letsdefend-soc-walkthroughs
该仓库收录了在 LetsDefend 模拟 SOC 平台上完成的多个安全警报调查演练，涵盖 Web 攻击检测、钓鱼邮件分析和恶意软件分析等蓝队场景。
Stars: 0 | Forks: 0
# 🛡️ LetsDefend — SOC 演练
这是一个包含在 [LetsDefend](https://app.letsdefend.io/) 平台上调查的警报 walkthroughs 的代码库，模拟了安全运营中心 (SOC) 环境。
## 📂 类别
### 🌐 [检测 Web 攻击](./Detecting%20Web%20Attacks/)
针对 Web 应用程序和服务器的攻击 — SQL Injection、Command Injection、LFI、IDOR 等。
| # | Event ID | 警报 | 攻击类型 | 结果 |
|---|----------|--------|----------------|-----------|
| 1 | SOC165 | [检测到可能的 SQL Injection Payload](./Detecting%20Web%20Attacks/alerts/SOC165-SQL-Injection-Walkthrough.md) | SQL Injection | ✅ True Positive |
| 2 | SOC167 | [在请求的 URL 中检测到 LS 命令](./Detecting%20Web%20Attacks/alerts/SOC167-LS-Command-Detected-in-URL.md) | Command Injection | ❌ False Positive |
| 3 | SOC168 | [在请求体中检测到 Whoami 命令](./Detecting%20Web%20Attacks/alerts/SOC168-Whoami-Command-Detected.md) | Command Injection | ✅ True Positive |
| 4 | SOC169 | [检测到可能的 IDOR 攻击](./Detecting%20Web%20Attacks/alerts/SOC169-Possible-IDOR-Attack-Detected.md) | IDOR | ✅ True Positive |
| 5 | SOC170 | [请求的 URL 中发现 Passwd — 可能是 LFI 攻击](./Detecting%20Web%20Attacks/alerts/SOC170-Passwd-Found-in-URL-Possible-LFI.md) | LFI / 路径遍历 | ✅ True Positive（未成功） |
### 🎣 [钓鱼邮件分析](./Phishing%20Email%20Analysis/)
分析钓鱼邮件和 URL、鱼叉式钓鱼及社会工程学威胁。
| # | Event ID | 警报 | 技术 | 结果 |
|---|----------|--------|---------|-----------|
| 1 | SOC141 | [检测到钓鱼 URL](./Phishing%20Email%20Analysis/alerts/SOC141-Phishing-URL-Detected.md) | 恶意 URL / 鱼叉式钓鱼 | ✅ True Positive |
### 🦠 [恶意软件分析](./Malware%20Analysis/)
分析与恶意软件、可疑文件及 endpoint 上的恶意行为相关的警报。
| # | Event ID | 警报 | 技术 | 结果 |
|---|----------|--------|---------|-----------|
| — | — | *即将推出* | — | — |
## 📊 统计数据
| 指标 | 值 |
|---|---|
| 调查的警报总数 | 6 |
| True Positives | 5 |
| False Positives | 1 |
| 涵盖的类别 | 3 |
## 🛠️ 使用的工具
| 工具 | 用途 |
|---|---|
| [VirusTotal](https://www.virustotal.com/) | 分析恶意 IP、URL 和文件 |
| [AbuseIPDB](https://www.abuseipdb.com/) | IP 地址信誉 |
| [Cisco Talos](https://talosintelligence.com/) | 威胁情报和 IP 信誉 |
| [Hybrid Analysis](https://www.hybrid-analysis.com/) | URL 和文件的行为分析 |
| [URLScan.io](https://urlscan.io/) | 分析可疑 URL 并截图 |
| [URLDecoder](https://www.urldecoder.org/) | 解码带有编码的可疑 URL |
| [LetsDefend](https://app.letsdefend.io/) | 模拟的 SOC 平台 |
## 📁 代码库结构
```
letsdefend-soc-walkthroughs/
│
├── README.md
│
├── Detecting Web Attacks/
│ ├── README.md
│ └── alerts/
│ ├── SOC165-SQL-Injection-Walkthrough.md
│ ├── SOC167-LS-Command-Detected-in-URL.md
│ ├── SOC168-Whoami-Command-Detected.md
│ ├── SOC169-Possible-IDOR-Attack-Detected.md
│ └── SOC170-Passwd-Found-in-URL-Possible-LFI.md
│
├── Phishing Email Analysis/
│ ├── README.md
│ └── alerts/
│ └── SOC141-Phishing-URL-Detected.md
│
└── Malware Analysis/
├── README.md
└── alerts/
└── (em breve)
```
## 🔖 标签
`blue-team` `soc` `letsdefend` `cybersecurity` `incident-response` `sql-injection` `command-injection` `idor` `lfi` `path-traversal` `phishing` `spear-phishing` `malware` `false-positive`
标签：CISA项目, DAST, Web安全, 安全运营, 库, 应急响应, 恶意软件分析, 扫描框架, 漏洞修复, 网络安全培训, 蓝队分析, 钓鱼分析, 防御加固