JamesHowardEGM/Sentinel-Home-Lab

# Microsoft Sentinel 家庭实验室 一个实操型的 Microsoft Sentinel 家庭实验室，专为准备 SC-200 考试和培养实用安全运营技能而构建。 ## 关于 本实验室使用 Microsoft Sentinel、Microsoft Defender 套件和 Azure 基础设施模拟真实的 SOC 环境。它记录了完整的构建过程、自定义 KQL 检测查询、威胁情报配置以及事件调查演练。 由一名具备 SOC 实战经验并正在努力考取 SC-200：Microsoft Security Operations Analyst 认证的网络安全学生构建。 ## 实验室架构 | 组件 | 用途 | |---|---| | Azure Resource Group | 所有实验室资源的逻辑容器 | | Log Analytics Workspace | Sentinel 的中心日志存储 | | Microsoft Sentinel | SIEM / SOAR 平台 | | Windows Server VM | 生成真实的安全遥测数据 | | Microsoft Entra ID | 身份和登录日志源 | | Threat Intelligence Feed | 通过 TAXII/STIX connector 摄取 | | Microsoft Defender for Cloud | 云安全态势 + 告警 | ## 仓库结构 ``` ├── setup/ # Step-by-step lab build guides with screenshots ├── kql-queries/ # Custom KQL detection queries ├── playbooks/ # Logic App playbooks and automation rules ├── threat-intel/ # Threat intelligence feed configuration ├── investigations/ # Simulated incident investigation walkthroughs └── screenshots/ # Lab screenshots and evidence ``` ## 设置指南 | 步骤 | 指南 | |---|---| | 01 | [Resource Group & Log Analytics Workspace](setup/01-resource-group-and-workspace.md) | | 02 | [Enable Microsoft Sentinel](setup/02-enable-sentinel.md) | | 03 | [Deploy Windows VM](setup/03-deploy-windows-vm.md) | | 04 | [Configure Data Connectors](setup/04-data-connectors.md) | | 05 | [Ingest Threat Intelligence](setup/05-threat-intelligence.md) | | 06 | [Create Analytics Rules](setup/06-analytics-rules.md) | | 07 | [Build Automation Playbook](setup/07-playbooks.md) | ## KQL 查询 在本实验室中编写和测试的自定义检测查询。完整库请参见 [kql-queries/](kql-queries/)。 ## 正在努力考取的认证 - SC-200：Microsoft Security Operations Analyst - AZ-104：Microsoft Azure Administrator - AZ-500：Microsoft Azure Security Engineer ## 背景 - 网络安全学士学位（2026 年毕业，WAM：80） - 已获得 eJPT 认证 - 12 周 SOC 实习（Microsoft Sentinel 环境） - 12 周 IT 服务实习（进行中） - Cert II Security Operations（进行中）

标签：KQL, Microsoft Sentinel, 威胁情报, 安全运营, 实验室环境, 开发者工具, 扫描框架