mmrsd4/Automated-SOC-Detection-and-Threat-Triage-Platform
GitHub: mmrsd4/Automated-SOC-Detection-and-Threat-Triage-Platform
这是一个自动化 SOC 检测与威胁分类平台，用于模拟企业安全运营环境进行教育和防御性测试。
Stars: 0 | Forks: 0
# 自动化 SOC 检测与威胁分类平台
## 概述
本项目模拟了一个企业级安全运营中心环境，专注于集中日志收集、攻击检测、自动化威胁分类和事件响应工作流。
该实验环境整合了：
- Splunk Enterprise
- Wazuh
- Sysmon
- Python 自动化
- VirusTotal API
- AbuseIPDB API
- 端点遥测监控
- 检测工程
- 攻击模拟
- IOC 富化
- 告警分类
- 事件报告
- 威胁情报集成
# 实验环境
| 系统 | 角色 |
| Ubuntu 服务器 | 中央 SOC 服务器 |
| Windows 10 | 受监控端点 |
| Kali Linux | 攻击模拟系统 |
# 技术栈
# SOC 工作流
## 1. 搭建实验环境
### Ubuntu 服务器
### Windows 端点
### Kali Linux
# 2. 中央 SOC 服务器配置
## Splunk Enterprise 运行状态
# 3. Windows 端点遥测收集
## Sysmon 日志生成
## Windows 日志转发至 Splunk
# 4. 攻击模拟
## Nmap 侦察扫描
## Splunk 检测 Nmap 活动
## Hydra SMB 暴力破解攻击
## 检测到的登录失败事件
## 登录失败 SPL 查询结果
## 登录失败告警创建
## 可疑 PowerShell 执行
## Splunk PowerShell 检测
## 编码命令告警检测
# 5. SOC 仪表板与告警
## 完整 SOC 仪表板
## Splunk 告警配置
# 6. Wazuh 安全监控
## 活跃的 Wazuh Agent
## Wazuh 仪表板
## Wazuh 安全事件
# 7. 自动化 IOC 富化与威胁分类
## Python IOC 富化自动化
## IOC 富化结果
## JSON 事件报告生成
## 自动化事件报告
## Discord 告警通知
## 包含 MITRE ATT&CK ID 的事件报告
# 检测工程
## 关键检测用例
### 暴力破解检测
- Windows 事件 ID 4625
- 认证异常监控
- 登录失败阈值告警
### PowerShell 滥用检测
- 编码 PowerShell 命令
- 可疑进程执行
- 进程创建监控
### 侦察检测
- Nmap 扫描活动
- 端口扫描行为分析
- 网络遥测调查
# 自动化功能
## IOC 富化管道
集成的 API：
- VirusTotal
- AbuseIPDB
自动化能力：
- IOC 信誉分析
- 威胁严重性分类
- 自动化 JSON 报告
- Discord 通知
- 事件富化工作流
# MITRE ATT&CK 映射
| 技术 | ATT&CK ID |
| PowerShell | T1059.001 |
| 暴力破解 | T1110 |
| 网络服务扫描 | T1046 |
| 命令和脚本解释器 | T1059 |
# 项目结构
```
Automated-SOC-Platform/
│
├── README.md
├── LICENSE
├── requirements.txt
├── .gitignore
│
├── architecture/
├── detections/
├── dashboards/
├── attack_simulations/
├── automation/
├── playbooks/
├── rules/
├── scripts/
├── reports/
├── screenshots/
└── mitre_mapping/
```
# 检测查询示例
```
index=main EventCode=4625
| stats count by Account_Name, Source_Network_Address
| where count > 5
```
# 免责声明
本项目在隔离的实验环境中构建，仅用于教育和防御性网络安全目的。
# 许可证
本项目根据 MIT 许可证授权。
标签：AbuseIPDB API, AMSI绕过, asyncio, ATT&CK 框架, IOC 丰富, PFX证书, PowerShell 监控, Python 自动化, SOC 实验室, Sysmon, Ubuntu 服务器, VirusTotal API, Wazuh, Windows 端点, 事件报告, 免杀技术, 威胁分类, 威胁情报, 威胁检测, 安全运营中心, 开发者工具, 插件系统, 攻击检测, 攻击模拟, 暴力破解检测, 端点监控, 结构化查询, 网络安全, 网络映射, 自动化安全, 警报分类, 逆向工具, 隐私保护, 集中式日志收集, 驱动签名利用