manmath1272-design/SOC-Authentication-Monitoring-Dashboard

# 🛡️ SOC 身份验证监控仪表板

一个 Splunk Enterprise 项目，专注于监控 Windows 身份验证事件、检测暴力破解攻击、生成警报，并通过交互式 SOC 仪表板可视化安全数据。 # 📌 项目概述 本项目演示了安全运营中心 (SOC) 分析师如何使用 Splunk Enterprise 收集、分析、检测和可视化 Windows 身份验证事件。 使用 Splunk Universal Forwarder 从 Windows 11 虚拟机收集 Windows Security Event Logs，并使用 Splunk Search Processing Language (SPL) 进行分析。 # 🎯 目标 - 监控 Windows 成功登录 - 监控 Windows 失败登录 - 检测暴力破解攻击 - 生成安全警报 - 构建身份验证监控仪表板 - 提高 Windows 日志可见性 # 🏗️ 实验架构 ``` Windows 11 Virtual Machine │ ▼ Splunk Universal Forwarder │ ▼ Splunk Enterprise │ ▼ Search → Detection → Alert → Dashboard ``` # 🛠️ 使用的工具 - Splunk Enterprise - Splunk Universal Forwarder - Windows 11 - VirtualBox - Windows Security Event Logs - SPL (Search Processing Language) # 📊 使用的事件 ID | 事件 ID | 描述 | |----------|-------------| | 4624 | 成功登录 | | 4625 | 失败登录 | | 4672 | 分配特殊权限 | | 4688 | 进程创建 | # 🚨 检测逻辑 本项目通过以下方式检测暴力破解登录尝试： - 排除 SYSTEM 账户 - 排除 Service Accounts - 排除 Machine Accounts - 检测 1 分钟内 5 次或以上的失败登录尝试 # 📈 仪表板面板 - 成功登录 - 失败登录 - 暴力破解尝试 - 登录活动趋势 - 主要目标用户 - 主要源 IP 地址 - 最近的失败登录 # 🎯 MITRE ATT&CK | 技术 | 名称 | |-----------|------| | T1110 | 暴力破解 | # 📂 仓库结构 ``` SOC-Authentication-Monitoring-Dashboard │ ├── screenshots ├── dashboard_queries ├── report └── README.md ``` # 📸 截图 截图可在 **screenshots/** 文件夹中找到。 ## 📸 完整项目概述  ## 📊 SOC 身份验证仪表板  ## 🚨 暴力破解检测  ## 🔔 触发的警报  # 📝 SPL 查询 本项目中使用的所有查询均可在以下位置找到： ``` dashboard_queries/dashboard_queries.txt ``` # 💡 展现的技能 - Splunk SPL - 日志分析 - 身份验证监控 - 检测工程 - 暴力破解检测 - 警报创建 - 仪表板开发 - Windows Security Event 分析 - SOC 调查 # ⚠️ 免责声明 本项目在受控的实验环境中进行，仅用于教育和防御性网络安全目的。

标签：PB级数据处理, Windows事件监控, 免杀技术, 安全运维, 安全运营中心, 暴力破解检测, 红队行动, 网络映射