reganmariadass/Microsoft--Sentinel-Lab

# Microsoft Sentinel SOC 检测工程实验室 ## 概述 本仓库是一个实操性的 SOC 分析师作品集项目，重点关注 Microsoft Sentinel 检测工程、KQL 查询开发、告警分诊、MITRE ATT&CK 映射以及事件响应文档记录。 本实验室的目标是通过分析安全事件、开发检测逻辑、记录调查步骤以及为常见安全事件创建响应手册，来模拟真实世界的 SOC 工作流。 ## 项目目标 - 开发实用的 Microsoft Sentinel KQL 检测查询 - 分析 Windows Security 和 Azure AD/Entra ID 日志 - 创建 SOC 风格的事件调查报告 - 将可疑活动映射到 MITRE ATT&CK 技术 - 为常见告警编写响应手册 - 展示告警分诊、证据收集和升级逻辑 - 为 SOC 分析师岗位构建专业的网络安全作品集 ## 工具与技术 - Microsoft Sentinel - Kusto Query Language - KQL - Windows Security Event Logs - Azure AD / Microsoft Entra ID Sign-in Logs - MITRE ATT&CK Framework - 事件响应文档 - SIEM 告警分诊 - 安全监控 ## 检测用例 | 用例 | 描述 | MITRE ATT&CK | 项目文件 | |---|---|---|---| | 暴力破解登录尝试 | 使用 Windows Security Event ID 4625 检测针对用户账户的反复失败登录尝试 | T1110 - Brute Force | [检测](detections/brute-force-login-detection.kql) · [事件报告](incidents/incident-001-brute-force-login.md) · [响应手册](playbooks/brute-force-response-playbook.md) · [MITRE 映射](mitre-attack/brute-force-mitre-mapping.md) · [总结](docs/brute-force-detection-summary.md) | | 禁用账户登录尝试 | 检测针对已禁用账户的身份验证尝试 | T1078 - Valid Accounts | 即将推出 | | 可疑的 PowerShell 执行 | 检测潜在恶意的 PowerShell 命令使用 | T1059.001 - PowerShell | 即将推出 | | 创建新管理员账户 | 检测新建特权账户 | T1136 - Create Account | 即将推出 | | 不可能旅行登录 | 检测短时间内来自相距甚远位置的可疑登录 | T1078 - Valid Accounts | 即将推出 | ## 仓库结构 ## 展示的技能 ## 已完成的用例：暴力破解登录尝试 第一个完成的检测包主要关注使用 Windows Security Event ID `4625` 的暴力破解登录活动。 此用例包含： - Microsoft Sentinel KQL 检测逻辑 - SOC 事件调查报告 - MITRE ATT&CK 映射 - 事件响应手册 - 示例 Windows Security 日志数据 - 文档总结 ### 展示的核心 SOC 概念 - 身份验证监控 - 失败登录分析 - 源 IP 调查 - 真阳性和假阳性评估 - 凭据访问检测 - 告警升级逻辑 ``` detections/ Microsoft Sentinel KQL detection queries incidents/ SOC analyst investigation reports mitre-attack/ MITRE ATT&CK mapping documentation sample-logs/ Sample Windows and Azure log data playbooks/ Incident response playbooks screenshots/ Lab screenshots and evidence docs/ Supporting documentation ```

标签：KQL, OpenCanary, 安全运营, 库, 应急响应, 微软Sentinel, 扫描框架