5brothersghz-glitch/Siem-With-Wazuh

# Wazuh、Caldera、Sysmon 和 AI 日志分析实验室 ## 项目概述 本项目涉及构建一个网络安全实验室环境，以模拟网络攻击、监控安全事件和分析日志，使用 Wazuh、Sysmon、MITRE Caldera 和 AI 辅助日志分析。 ## 第 1 步：创建虚拟机 使用 VirtualBox，我创建了三个虚拟机： - Ubuntu Server VM（Wazuh 服务器） - Windows 10 VM（目标端点） - Kali Linux VM（攻击者机器） ### 截图：虚拟机  ## 第 2 步：安装和配置 Wazuh 我在 Ubuntu Server VM 上安装了 Wazuh，并配置了 Wazuh 管理器、索引器和仪表板。安装完成后，我验证了所有服务都在运行，并确认了访问 Web 仪表板。 ### 截图：Wazuh 安装  ### 截图：Wazuh 仪表板  ## 第 3 步：添加 Windows 10 端点 我在 Windows 10 虚拟机上安装了 Wazuh 代理，并将其注册到 Wazuh 管理器。连接后，端点开始向 Wazuh 服务器发送日志和安全事件以进行监控。 ### 截图：Windows 代理安装  ### 截图：端点连接到 Wazuh  ## 第 4 步：安装和配置 Sysmon 为了增强端点可见性，我在 Windows 10 VM 上安装了 Sysmon（系统监控器）。Sysmon 被配置为记录详细的系统活动，包括进程创建、网络连接、文件修改、注册表更改和 PowerShell 执行事件。Wazuh 被配置为摄取 Sysmon 日志，从而提供对端点行为的更深入了解，并提高威胁检测能力。 ### 截图：Sysmon 安装  ### 截图：Sysmon 事件在 Wazuh 中  ## 第 5 步：安装 Kali Linux 和 MITRE Caldera 我配置了一个 Kali Linux 虚拟机并安装了 MITRE Caldera。Caldera 被用于模拟对手行为并执行基于 MITRE ATT&CK 框架的攻击技术。 ### 截图：Kali Linux  ### 截图：Caldera 安装  ### 截图：Caldera 仪表板  ## 第 6 步：执行攻击模拟 使用 MITRE Caldera，我对 Windows 10 端点进行了攻击模拟。这些练习包括侦察、权限提升、持久性、凭证访问和命令执行技术。Sysmon 在这些攻击期间捕获了详细的遥测数据，而 Wazuh 根据收集的数据生成警报。 ### 截图：攻击执行  ### 截图：MITRE ATT&CK 技术  ## 第 7 步：在 Wazuh 中监控和调查警报 在攻击进行的同时，Wazuh 收集了 Windows 事件日志和 Sysmon 遥测数据，为可疑活动生成警报。我审查了警报，调查了事件，分析了入侵指标（IOCs），并将攻击活动与 MITRE ATT&CK 技术相关联。 ### 截图：安全警报  ### 截图：事件调查  ## 第 8 步：安装 Ollama 进行 AI 辅助日志分析 为了增强日志分析能力，我在 Ubuntu 服务器上安装了 Ollama 以运行本地大型语言模型（LLM）进行 AI 辅助网络安全调查。我创建了一个 shell 脚本，以便快速启动 Ollama 并加载用于安全日志分析的 AI 模型。 使用 Ollama，我分析了在 MITRE Caldera 攻击模拟期间生成的 Wazuh 和 Sysmon 日志。AI 协助总结警报、识别入侵指标（IOCs）、解释可疑活动，并为事件调查提供额外的上下文。 这种集成提高了审查安全事件的效率，并展示了 AI 如何通过加速日志分析和威胁调查来支持安全运营中心（SOC）的工作流程。 ### 截图：Ollama 安装  ### 截图：Shell 脚本  ### 截图：AI 日志分析 ##  ## 展示的技能 - Wazuh SIEM 管理 - Sysmon 配置和监控 - 端点检测和响应（EDR） - 安全信息和事件管理（SIEM） - 威胁检测和分析 - MITRE ATT&CK 框架 - 对手模拟 - 事件响应 - 威胁狩猎 - 日志分析 - AI 辅助安全分析 - 安全运营中心（SOC）工作流程 ## 项目架构 ``` +------------------+ | Kali Linux | | MITRE Caldera | +--------+---------+ | | Attack Simulation v +------------------+ | Windows 10 | | Wazuh Agent | | Sysmon | +--------+---------+ | | Logs & Telemetry v +------------------+ | Ubuntu Server | | Wazuh Manager | | Wazuh Dashboard | +--------+---------+ | | Log Analysis v +------------------+ | AI Analysis Tool | +------------------+ ``` ## 结论 这个实验室提供了安全监控、端点可见性、威胁检测、对手模拟、事件调查和 AI 辅助日志分析的实际操作经验。通过将 Sysmon 与 Wazuh 集成并通过 MITRE Caldera 生成攻击活动，我在 SOC 工作流程和在企业安全环境中常用的网络安全工具方面获得了实践经验。 ## 项目贡献者 这个家庭实验室项目是网络安全组织（NSO）成员的集体努力。向以下帮助设置和构建项目的成员表示敬意： * *

标签：BurpSuite集成, 速率限制