WiLL75G/soc-analyst-toolkit

这里的每一项内容都是我正在使用、在实验室中测试过，或者在值班时会用到的工具。没有死链接，没有凑数内容。如果某个工具出现在我自己的实验室工作中，**Lab** 列将链接到相应的分析文章。 ## 目录 1. [SIEM 与日志管理](#1-siem-and-log-management) 2. [端点检测与响应](#2-endpoint-detection-and-response) 3. [网络检测与流量分析](#3-network-detection-and-traffic-analysis) 4. [入侵检测与防御](#4-intrusion-detection-and-prevention) 5. [威胁情报](#5-threat-intelligence) 6. [检测工程与规则开发](#6-detection-engineering-and-rule-development) 7. [恶意软件分析与沙箱](#7-malware-analysis-and-sandboxing) 8. [数字取证与事件响应](#8-digital-forensics-and-incident-response) 9. [OSINT 与侦察](#9-osint-and-reconnaissance) 10. [漏洞管理](#10-vulnerability-management) 11. [自动化与 SOAR](#11-automation-and-soar) 12. [紫队与对手模拟](#12-purple-team-and-adversary-emulation) 13. [参考与学习](#13-reference-and-learning) ## 1. SIEM 与日志管理 | 工具 | 功能 | Lab | |------|--------------|-----| | [Splunk](https://www.splunk.com/) | 行业标准的 SIEM。使用 SPL 进行搜索、仪表板和关联搜索。 | 28 天 SOC 实验室 | | [Microsoft Sentinel](https://learn.microsoft.com/en-us/azure/sentinel/) | Azure 上的云原生 SIEM/SOAR。支持 KQL、分析规则和工作簿。 | sentinel-soc-lab | | [Wazuh](https://wazuh.com/) | 开源 SIEM/XDR，具备基于代理的收集功能和内置规则集。 | Wazuh SSH 暴力破解实验室 | | [Elastic Security (ELK)](https://www.elastic.co/security) | Elasticsearch、Logstash、Kibana。支持检测规则和狩猎。 | — | | [Graylog](https://graylog.org/) | 开源日志管理工具，支持流、pipeline 和告警。 | — | ## 2. 端点检测与响应 | 工具 | 功能 | Lab | |------|--------------|-----| | [Sysmon](https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon) | 深度 Windows 事件日志记录。EID 1 进程创建，EID 3 网络，EID 4104 脚本块。 | JAMES-VM 上的 PowerShell 取证 | | [Microsoft Defender for Endpoint](https://www.microsoft.com/en-us/security/business/endpoint-security/microsoft-defender-endpoint) | 企业级 EDR，具备进程树和威胁狩猎功能。 | — | | [Velociraptor](https://docs.velociraptor.app/) | 通过 VQL 实现端点可见性和狩猎。 | — | | [OSQuery](https://osquery.io/) | 像查询 SQL 数据库一样查询你的端点。 | — | | [LimaCharlie](https://www.limacharlie.io/) | SecOps 云平台，提供免费层级的 EDR 遥测数据。 | — | ## 3. 网络检测与流量分析 | 工具 | 功能 | Lab | |------|--------------|-----| | [Wireshark](https://www.wireshark.org/) | 数据包分析标准工具。支持深度协议解析。 | wireshark-pcap-deep-analysis-lab | | [tshark](https://www.wireshark.org/docs/man-pages/tshark.html) | 命令行版 Wireshark。支持可脚本化的抓包和字段提取。 | Tier 1 tshark 训练 | | [Zeek](https://zeek.org/) | 网络安全监控器，可生成丰富的连接日志。 | — | | [Arkime](https://arkime.com/) | 支持索引搜索的全数据包捕获。 | — | | [tcpdump](https://www.tcpdump.org/) | 适用于任何主机的轻量级命令行抓包工具。 | — | ## 4. 入侵检测与防御 | 工具 | 功能 | Lab | |------|--------------|-----| | [Suricata](https://suricata.io/) | 高性能 IDS/IPS，支持自定义规则。 | Suricata 自定义规则 (sid 1000001/1000002) | | [Snort](https://www.snort.org/) | 经典的基于特征的 IDS/IPS。 | — | | [Security Onion](https://securityonionsolutions.com/) | 完整的监控发行版，集成了 Suricata、Zeek 和 ELK stack。 | — | | [Fail2ban](https://github.com/fail2ban/fail2ban) | 基于日志的暴力破解源封禁工具。 | — | ## 5. 威胁情报 | 工具 | 功能 | Lab | |------|--------------|-----| | [MISP](https://www.misp-project.org/) | 威胁情报共享平台。支持 IOC、目击记录和 feeds。 | — | | [OpenCTI](https://www.opencti.io/) | 基于 STIX2 的结构化 CTI 知识管理。 | — | | [VirusTotal](https://www.virustotal.com/) | 跨越数十个引擎的文件/URL/IP 信誉查询。 | — | | [AbuseIPDB](https://www.abuseipdb.com/) | 社区 IP 信誉和滥用报告平台。 | — | | [URLScan.io](https://urlscan.io/) | 沙箱化 URL 分析和截图。 | 恶意软件 URL 仪表板 | | [GreyNoise](https://www.greynoise.io/) | 将针对性攻击与互联网背景噪声区分开来。 | — | ## 6. 检测工程与规则开发 | 工具 | 功能 | Lab | |------|--------------|-----| | [Sigma](https://github.com/SigmaHQ/sigma) | 通用检测规则格式，可跨 SIEM 移植。 | SigmaHQ issues 6056/6057 | | [sigma-cli / pySigma](https://github.com/SigmaHQ/sigma-cli) | 将 Sigma 规则转换为 SPL、KQL、EQL 等。 | — | | [MITRE ATT&CK Navigator](https://mitre-attack.github.io/attack-navigator/) | 可视化针对矩阵的检测覆盖率。 | — | | [Atomic Red Team](https://github.com/redcanaryco/atomic-red-team) | 针对每个 ATT&CK 技术进行小型测试以验证检测。 | — | | [Detection Lab](https://github.com/clong/DetectionLab) | 用于练习检测工程的预建实验室。 | — | ## 7. 恶意软件分析与沙箱 | 工具 | 功能 | Lab | |------|--------------|-----| | [CyberChef](https://gchq.github.io/CyberChef/) | 用于解码/去混淆的“网络瑞士军刀”。 | base64 去混淆 | | [Any.Run](https://any.run/) | 交互式在线恶意软件沙箱。 | — | | [Cuckoo Sandbox](https://cuckoosandbox.org/) | 自动化的动态恶意软件分析。 | — | | [PEStudio](https://www.winitor.com/) | Windows PE 文件的静态分拣。 | — | | [Ghidra](https://ghidra-sre.org/) | NSA 的开源逆向工程套件。 | — | ## 8. 数字取证与事件响应 | 工具 | 功能 | Lab | |------|--------------|-----| | [Autopsy](https://www.autopsy.com/) | 基于 Sleuth Kit 的 GUI 磁盘取证工具。 | — | | [Volatility](https://www.volatilityfoundation.org/) | 内存取证框架。 | — | | [KAPE](https://www.kroll.com/en/services/cyber/incident-response-litigation-support/kroll-artifact-parser-extractor-kape) | 快速定向的取证痕迹收集与解析。 | — | | [Chainsaw](https://github.com/WithSecureLabs/chainsaw) | 支持 Sigma 的快速 Windows 事件日志狩猎。 | — | | [Hayabusa](https://github.com/Yamato-Security/hayabusa) | Windows 事件日志时间线和威胁狩猎。 | — | ## 9. OSINT 与侦察 | 工具 | 功能 | Lab | |------|--------------|-----| | [Shodan](https://www.shodan.io/) | 搜索互联网暴露设备的搜索引擎。 | — | | [Nmap](https://nmap.org/) | 网络映射和端口扫描。 | CorpOps-Shell-Suite | | [theHarvester](https://github.com/laramies/theHarvester) | 电子邮件、子域和主机的 OSINT 收集。 | 侦察自动化工具包 | | [Maltego](https://www.maltego.com/) | 链接分析和 OSINT 图谱绘制。 | — | | [Amass](https://github.com/owasp-amass/amass) | 深度攻击面和子域名映射。 | — | ## 10. 漏洞管理 | 工具 | 功能 | Lab | |------|--------------|-----| | [OpenVAS / Greenbone](https://www.greenbone.net/) | 开源漏洞扫描。 | 实验室 | | [Nessus Essentials](https://www.tenable.com/products/nessus/nessus-essentials) | 免费层级的行业漏洞扫描器。 | — | | [Nuclei](https://github.com/projectdiscovery/nuclei) | 基于模板的快速漏洞扫描。 | — | | [Trivy](https://github.com/aquasecurity/trivy) | 容器和 IaC 漏洞扫描。 | — | ## 11. 自动化与 SOAR | 工具 | 功能 | Lab | |------|--------------|-----| | [Shuffle](https://shuffler.io/) | 用于 playbook 自动化的开源 SOAR。 | — | | [TheHive](https://thehive-project.org/) | 案件管理和事件响应协作。 | — | | [Cortex](https://github.com/TheHive-Project/Cortex) | 与 TheHive 配套的可观测分析引擎。 | — | | [n8n](https://n8n.io/) | 通用工作流自动化，适用于安全粘合场景。 | — | ## 12. 紫队与对手模拟 | 工具 | 功能 | Lab | |------|--------------|-----| | [Caldera](https://caldera.mitre.org/) | MITRE 的自动化对手模拟平台。 | — | | [NetExec (nxc)](https://github.com/Pennyw0rth/NetExec) | 网络协议的利用后攻击和横向移动。 | WMI 远程执行演示 | | [Atomic Red Team](https://github.com/redcanaryco/atomic-red-team) | 技术级别的检测验证测试。 | — | | [Kali Linux](https://www.kali.org/) | 用于生成测试攻击的攻击性工具发行版。 | 实时 Kali 攻击场景 | ## 13. 参考与学习 | 资源 | 说明 | Lab | |----------|------------|-----| | [MITRE ATT&CK](https://attack.mitre.org/) | 对手战术和技术知识库。 | 实验室 | | [The DFIR Report](https://thedfirreport.com/) | 映射到 ATT&CK 的真实入侵分析报告。 | — | | [LOLBAS](https://lolbas-project.github.io/) | 被攻击者滥用的 Living-off-the-land 二进制文件。 | — | | [GTFOBins](https://gtfobins.github.io/) | 被滥用于绕过限制的 Unix 二进制文件。 | — | | [OverTheWire](https://overthewire.org/wargames/) | 实战安全攻防游戏。 | Bandit Levels 1-31 | ## 许可证 [MIT](LICENSE)

标签：DNS通配符暴力破解, 域环境安全, 防御加固