shrouqobaid/CyberSentinel-Splunk
GitHub: shrouqobaid/CyberSentinel-Splunk
Stars: 1 | Forks: 0
# CyberSentinel: Splunk Security Analytics
# CyberSentinel Architecture
+-------------------+
| Log Sources |
| Windows / Sysmon |
+---------+---------+
|
v
+-------------------+
| Splunk SIEM |
| Indexing & Search |
+---------+---------+
|
+-----------+-----------+
| |
v v
+---------------+ +------------------+
| SPL Detection | | SOC Dashboard |
| Correlation | | Visualization |
+-------+-------+ +--------+---------+
| |
+-----------+-----------+
|
v
+-------------------+
| Alerting Workflow |
| Incident Response |
+-------------------+
# Investigation Scenario
هدف المشروع هو تحويل السجلات الخام إلى Actionable Threat Intelligence عبر:
* **Detection Engineering**
* **Log Analysis**
* **Threat Hunting**
* **SOC Monitoring**
* **Alerting & Response**
# المرحلة الأولى: Recon & Data Ingestion
بدأتُ بتهيئة بيئة التحليل والتأكد من سلامة عملية Log Ingestion داخل Splunk لضمان عدم وجود أي Blind Spots أثناء التحقيق.
## Environment Setup & Source Analysis
تحليل مصادر البيانات والتأكد من تدفق السجلات بشكل صحيح داخل الـ Indexes.
## Ingestion Monitoring
التحقق من استقرار تدفق البيانات ومراقبة حجم السجلات داخل البيئة الأمنية.
# المرحلة الثانية: Threat Hunting & SPL Detection
تم استخدام لغة SPL (Search Processing Language) لتحويل السجلات إلى مؤشرات واضحة تكشف سلوك المهاجم.
## Log Inspection & Failed Authentication Analysis
تحليل سجلات Windows Event ID 4625 للكشف عن محاولات تسجيل الدخول الفاشلة واكتشاف أنماط Brute Force.
## Precision SPL Detection
إنشاء SPL Detection Logic لتحديد أكثر عناوين IP نشاطًا وربطها بالمحاولات المشبوهة.
# Core SPL Detection Queries
## Brute Force Detection
index=wineventlog EventCode=4625
| stats count by src_ip Account_Name
| where count > 10
| sort - count
## Top Attacking IP Addresses
index=wineventlog EventCode=4625
| top limit=10 src_ip
## Targeted Accounts Detection
index=wineventlog EventCode=4625
| stats count by Account_Name
| sort - count
## 🚨 Suspicious Login Activity Timeline
index=wineventlog EventCode=4625
| timechart count by src_ip
## High Frequency Authentication Attempts
index=wineventlog EventCode=4625
| bucket _time span=5m
| stats count by _time src_ip
| where count > 20
# المرحلة الثالثة: Forensic Findings
بعد تحليل السجلات، بدأتُ بربط الأحداث وتحويل البيانات إلى أدلة رقمية واضحة تساعد في فهم سلوك المهاجم.
## IP Activity & Attacker Tracking
تحديد الـ IPs الأكثر نشاطًا وتحليل نمط الحركة الخاصة بالمهاجم.
## Targeted Accounts Analysis
تحليل الحسابات المستهدفة وتحديد الحسابات الحساسة الأكثر تعرضًا للهجوم.
# Detection & Use Cases
| Use Case | Description |
|---|---|
| Brute Force Detection | اكتشاف محاولات تسجيل الدخول الفاشلة المتكررة |
| Suspicious Login Monitoring | مراقبة محاولات الدخول غير الطبيعية |
| Threat Hunting | البحث عن أنماط هجوم داخل السجلات |
| IOC Identification | استخراج مؤشرات الاختراق |
| Account Abuse Detection | اكتشاف استهداف الحسابات الحساسة |
| SOC Monitoring | مراقبة الأحداث الأمنية لحظيًا |
| Alert Correlation | ربط التنبيهات وتحليلها |
# MITRE ATT&CK Mapping
| Technique ID | Tactic | Technique |
|---|---|---|
| T1110 | Credential Access | Brute Force |
| T1078 | Defense Evasion | Valid Accounts |
| T1059 | Execution | Command & Scripting |
| T1087 | Discovery | Account Discovery |
# المرحلة الرابعة: SOC Monitoring & Incident Response
بعد اكتشاف الهجوم، تم بناء بيئة مراقبة دفاعية تسمح بالكشف المبكر عن أي نشاط مشابه مستقبلًا.
## SOC Dashboard & Alert Visualization
بناء Dashboard تفاعلي لعرض الأنشطة الأمنية والتنبيهات بشكل لحظي.
## 🚨 Automated Alerting Workflow
إنشاء Alerting Workflow يعمل تلقائيًا لرصد أي نشاط Brute Force وإشعار فريق الـ SOC.
## 🚨 Security Alerts
## للاطلاع على سير عمل التنبيهات وقواعد الاكتشاف، قم بزيارة مجلد [Alerts](alerts/).
# SOC Recommendations
- حظر الـ IPs المشبوهة على مستوى الـ Firewall
- تفعيل سياسات Account Lockout
- مراقبة محاولات Authentication الفاشلة بشكل مستمر
- تفعيل Multi-Factor Authentication (MFA)
- إنشاء Correlation Rules داخل Splunk
- تحسين Log Retention وVisibility
# Closing the Case
تمكنت من:
- اكتشاف هجوم Brute Force
- تحديد الـ IPs المهاجمة
- تحليل الحسابات المستهدفة
- بناء Detection Logic داخل Splunk
- إنشاء SOC Dashboard للمراقبة اللحظية
- تفعيل Automated Alerts لتحسين سرعة الاستجابة
هذا المشروع يمثل محاكاة عملية لدور Junior SOC Analyst داخل بيئة SIEM حقيقية.
# 📂 Repository Structure
* **[alerts/](alerts/)** : منهجية التنبيه (Alerting Workflow) وقواعد الاكتشاف.
* **[dashboards/](dashboards/)** : واجهات المراقبة المرئية (Dashboards).
* **[SPL-Queries/](SPL-Queries/)** : الاستعلامات المستخدمة في تحليل Splunk.
* **[screenshots/](screenshots/)** : لقطات شاشة توثق خطوات العمل.
* **[README.md](README.md)** : التقرير التحليلي الشامل للمشروع.
# SOC Analyst Path
هذا المشروع جزء من رحلتي في:
- SOC Analysis
- Threat Hunting
- Detection Engineering
- SIEM Monitoring
- Incident Response