Mosec2525/learn-soc-with-me-lab-04-new-local-admin-user
GitHub: Mosec2525/learn-soc-with-me-lab-04-new-local-admin-user
面向初学者的 Windows 本地管理员账户创建调查 SOC 培训实验室，提供合成日志、检测规则和报告模板，帮助学员练习完整的安全事件分流与分析流程。
Stars: 0 | Forks: 0
# 跟我学 SOC - 实验室 04：新建本地管理员用户调查
面向初学者的 Windows SOC 实验室，构建为一个逼真、安全、静态的 Web 练习。
本实验室教授 SOC 分析师如何使用合成的 Windows Security、Sysmon、RDP 和 EDR 日志，调查本地账户创建、本地管理员组成员身份变更、可疑的命令执行以及远程登录活动。
在线实验室链接：
```
Open index.html locally or publish this repo with GitHub Pages.
```
## 您将练习的内容
- 阅读 Windows 权限提升警报
- 了解用于账户和组更改的 Windows 事件 ID
- 审查成功登录的证据
- 将进程执行与账户创建关联
- 识别可疑的本地管理员组成员身份
- 将活动映射到 MITRE ATT&CK
- 根据证据评估严重程度
- 编写简短的 SOC 分流报告
- 建议主机和账户的遏制操作
## 场景
Northstar Financial 是一家虚构的公司，在正常维护时间之外，一台工作站上创建了新的本地用户并将其添加到本地 Administrators 组后，公司收到了 EDR 警报。
SOC 必须确定这是经过授权的 IT 操作还是可疑的权限提升。
您的任务：
```
Was the local admin creation authorized?
Which host was affected?
Which account was created?
Who performed the action?
What evidence supports the decision?
What should the SOC do next?
```
## 实验室内容
```
.
|-- index.html
|-- style.css
|-- app.js
|-- cases/
| `-- case-004-new-local-admin-user/
|-- data/
| |-- alerts/
| |-- answers/
| |-- entities/
| `-- logs/
|-- detections/
| |-- elastic-kql/
| |-- sigma/
| `-- splunk/
|-- docs/
|-- reports/
|-- resources/
`-- schemas/
```
## 如何运行
推荐的本地服务器：
```
python -m http.server 8000
```
然后打开：
```
http://localhost:8000
```
您也可以直接打开 `index.html`，但使用本地服务器可以提供最可靠的浏览器行为来加载 JSON 数据。
## 调查工作流程
使用以下顺序：
```
1. Read the EDR alert.
2. Review successful logon activity.
3. Check process execution evidence.
4. Review Windows account and group events.
5. Identify the created account and admin group membership.
6. Decide whether this is authorized or malicious.
7. Map the behavior to MITRE ATT&CK.
8. Choose verdict, severity, and containment actions.
9. Compare your answer with the expected findings.
```
## 预期的 MITRE ATT&CK 映射
- `T1136.001` - Create Account: Local Account
- `T1098` - Account Manipulation
- `T1078` - Valid Accounts
## 安全性
本仓库中的所有账户、主机、IP 地址、命令和日志均为合成数据，专为培训而创建。不包含任何真实的客户数据、凭据、恶意软件或受害者基础设施。
本实验室仅用于防御性学习、作品集开发和 SOC 练习。
## 系列
本仓库是“跟我学 SOC”系列中的实验室 04。
之前的实验室：
- 实验室 01 - Password Spray 调查
- 实验室 02 - 可疑 PowerShell 调查
- 实验室 03 - 钓鱼登录调查
计划的后续实验室：
- 实验室 05 - 可能的数据泄露
- 实验室 06 - Cloud IAM 异常
## 参考
请参见 [resources/references.md](resources/references.md)。
标签：SOC运营, Windows系统, 多模态安全, 安全分析与调查, 安全教育, 数据可视化, 自定义脚本, 蓝队培训