S7wb/mini-soc-splunk-lab

# 使用 Splunk 的微型 SOC 监控实验室 ## 概述 本项目记录了一个实战型微型 SOC 实验室，旨在练习 SOC 监控、基于 Splunk 的检测、告警、仪表盘、日志分析和 IOC 提取。 主要用例侧重于使用 Linux 认证日志检测 SSH 暴力破解尝试。 ## 实验环境 | 组件 | 操作系统 | 角色 | |---|---|---| | Splunk 服务器 | Ubuntu Server 22.04 | 集中式日志收集、分析、告警和仪表盘 | | 受害者机器 | Linux | 生成认证日志的受控监控目标 | | Kali Linux | Kali Linux | 受控的攻击模拟机器 | ## 使用的工具 - Splunk - Splunk Universal Forwarder - Ubuntu Server - Kali Linux - Linux 认证日志 - SPL - Hydra - SSH ## 检测用例 ### SSH 暴力破解检测 该检测用于识别在短时间窗口内来自同一源 IP 的重复 SSH 登录失败尝试。 ### MITRE ATT&CK 映射 - 战术：凭证访问 (`TA0006`) - 技术：暴力破解 (`T1110`) - 子技术：密码猜测 (`T1110.001`) ## 项目内容 - 实验室架构 - 实验室搭建指南 - SPL 检测查询 - 告警逻辑 - SOC 风格的事件报告 - 截图 - 经验总结 ## 我学到了什么 - 收集和分析 Linux 认证日志 - 编写用于暴力破解检测的 SPL 查询 - 创建 Splunk 告警和仪表盘 - 调查告警并提取 IOC - 编写 SOC 风格的检测用例文档 ## 免责声明 本项目在受控的实验室环境中搭建，仅供教学和作品展示之用。 ## 仓库结构 ``` mini-soc-splunk-lab/ ├── README.md ├── detections/ │ └── ssh-bruteforce-detection.spl ├── reports/ │ └── ssh-bruteforce-incident-report.md ├── docs/ │ ├── alert-configuration.md │ ├── architecture.md │ ├── lessons-learned.md │ ├── setup-guide.md │ └── ssh-bruteforce-use-case.md └── screenshots/ ├── 01-lab-virtual-machines.png ├── 02-splunk-log-ingestion.png ├── 03-ssh-bruteforce-events.png ├── 04-detection-query-results.png ├── 05-alert-configuration.png ├── 06-triggered-alert.png ├── 07-soc-dashboard.png ├── 08-investigation-evidence.png └── README.md ``` ## 文档 - [实验室架构](docs/architecture.md) - [实验室搭建指南](docs/setup-guide.md) - [SSH 暴力破解检测用例](docs/ssh-bruteforce-use-case.md) - [SSH 暴力破解告警配置](docs/alert-configuration.md) - [经验总结](docs/lessons-learned.md) - [SSH 暴力破解检测查询](detections/ssh-bruteforce-detection.spl) - [SSH 暴力破解事件报告](reports/ssh-bruteforce-incident-report.md) - [项目截图](screenshots/README.md) ## 可视化证据 以下仪表盘概述了微型 SOC 实验室中监控到的安全事件。  查看完整的证据库： - [项目截图和验证证据](screenshots/README.md) ## 当前项目状态 SSH 暴力破解检测用例已完成实施、测试和记录。 已完成项： - 实验室搭建指南 - 可视化证据库 - MITRE ATT&CK 映射 - 集中式 Linux 日志收集 - SSH 暴力破解模拟 - SPL 检测查询 - 已验证的 Splunk 告警配置 - SOC 监控仪表盘 - 告警调查 - IOC 提取 - 事件报告 - 架构文档 - SSH 暴力破解用例文档 - 经验总结文档 其他检测用例将在实验室中完成配置、测试和验证后陆续添加。

标签：SSH暴力破解检测, 内存分配, 安全实验环境, 安全运营, 扫描框架