abhinavkishor9/windows-defender-firewall-investigation-lab
GitHub: abhinavkishor9/windows-defender-firewall-investigation-lab
该项目是一个 SOC 分析师培训实验，演示如何配置和监控 Windows Defender Firewall，并通过 Event Viewer 分析防火墙操作日志以验证规则变更。
Stars: 0 | Forks: 0
# windows-defender-firewall-investigation-lab
## 项目概述
本实验演示了如何从 SOC 分析师的视角对 Windows Defender Firewall 进行监控、配置和调查。
实验目的是了解防火墙配置文件，审查入站和出站规则，创建临时出站防火墙规则，并使用事件查看器（Event Viewer）调查生成的 Windows Firewall 操作日志。
## 实验目标
- 了解 Windows Defender Firewall 架构
- 审查 Domain、Private 和 Public 防火墙配置文件
- 分析现有的入站和出站防火墙规则
- 创建自定义出站防火墙规则
- 监控 Windows Firewall 操作日志
- 使用 Event Viewer 验证防火墙事件
- 从 SOC 分析师的视角记录调查发现
## 实验环境
| 组件 | 详细信息 |
|-----------|----------|
| 操作系统 | Windows 10 x64 |
| 虚拟化 | VMware Workstation Player |
| 安全产品 | Windows Defender Firewall |
| 调查工具 | Event Viewer |
| 日志源 | Windows Firewall With Advanced Security |
# 使用的工具
- Windows 安全中心
- 具有高级安全性的 Windows Defender Firewall
- Event Viewer
- Windows Firewall 操作日志
# 实验工作流
## 步骤 1
打开 Windows 安全中心
## 步骤 2
验证以下网络的防火墙状态：
- Domain Network
- Private Network
- Public Network
确认所有配置文件中的防火墙均已启用。
## 步骤 3
审查允许的应用程序
验证被允许通过 Windows Defender Firewall 的应用程序。
## 步骤 4
打开
具有高级安全性的 Windows Defender Firewall
审查
- 入站规则
- 出站规则
- 监控
```
## 第 5 步
Created a temporary outbound firewall rule.
Configuration
| Setting | Value |
|---------|-------|
| Rule Type | Program |
| Program | notepad.exe |
| Direction | Outbound |
| Action | Block |
| Profiles | Domain, Private, Public |
| Rule Name | Block Notepad (Lab) |
---
## 第 6 步
Opened Event Viewer
Navigated to
Applications and Services Logs
↓
Microsoft
↓
Windows
↓
Windows Firewall With Advanced Security
↓
Firewall
Verified firewall events.
---
## 第 7 步
Observed Event ID 2004
The event confirmed that a new firewall rule had been added.
Captured information including
- Rule Name
- Direction
- Action
- Application Path
- Profiles
- User
- Time Created
```
# 调查总结
本实验成功演示了防火墙配置更改的生命周期。
创建了一个临时的出站防火墙规则来阻止 Notepad.exe。
Windows Firewall 生成了事件 ID 2004，确认规则已成功创建。
本次调查展示了防火墙修改是如何被记录的，以及防御者如何使用 Event Viewer 验证管理活动。
# MITRE ATT&CK 映射
| 技术 | ID |
|------------|-----|
| 系统信息发现 | T1082 |
| 网络服务发现 | T1046 |
| 修改防火墙 | T1562.004 |
# 展示的技能
- Windows Defender Firewall
- 防火墙规则管理
- Event Viewer 分析
- Windows 安全中心
- 安全日志调查
- Windows 管理
- SOC 调查工作流
- 安全文档记录
# 学习成果
- 了解了 Windows Firewall 架构
- 创建了出站防火墙规则
- 调查了 Windows Firewall 日志
- 验证了防火墙的管理活动
- 使用 SOC 方法论记录了调查发现