Andreus33/Azure-SOC-Threat-Analysis
GitHub: Andreus33/Azure-SOC-Threat-Analysis
基于 Microsoft Sentinel 搭建的企业级 SOC 实验项目，演示云环境下的威胁检测、事件调查与 KQL 威胁狩猎全流程。
Stars: 0 | Forks: 0
# Microsoft Sentinel 威胁分析实验室
## 概述
本项目展示了使用 Microsoft Sentinel 进行威胁检测、事件调查和 SIEM 工程。
## 目标
- 部署 Microsoft Sentinel
- 连接 Windows VM 日志
- 配置 Azure Monitor Agent
- 创建分析规则
- 检测暴力破解攻击
- 使用 Sentinel 调查事件
# 环境架构
Windows VM
↓
Azure Arc
↓
Azure Monitor Agent
↓
Data Collection Rule
↓
Log Analytics Workspace
↓
Microsoft Sentinel
# 使用技术
- Microsoft Sentinel
- Azure Arc
- Azure Monitor Agent (AMA)
- Log Analytics Workspace
- KQL
- Windows Event Logs
# 检测场景
## 暴力破解检测
- Event ID 4625
- 失败的身份验证尝试
## PowerShell 检测
- Event ID 4688
- EncodedCommand 执行
# KQL 查询
## 失败登录检测
```
SecurityEvent
| where EventID == 4625
| summarize FailedAttempts=count() by Account, Computer, bin(TimeGenerated,5m)
| where FailedAttempts >= 5
```
## 成功登录检测
```
SecurityEvent
| where EventID == 4624
```
# MITRE ATT&CK 映射
| 技术 | ID |
|---|---|
| Brute Force | T1110 |
| PowerShell | T1059 |
| Valid Accounts | T1078 |
# 截图
## Sentinel 事件
## 调查图谱
# 展示技能
- SIEM 工程
- 威胁狩猎
- 事件响应
- KQL 开发
- Windows 安全监控
- Azure 安全运营
标签：AMSI绕过, KQL, Microsoft Sentinel, 威胁检测, 安全运营中心, 库, 应急响应, 网络映射, 速率限制