FirasSaud/SOC-Home-Lab

     # 🛡️ 使用 Splunk Enterprise 的 SOC 家庭实验室 这是一个实践性的安全运营中心（SOC）家庭实验室，使用 **Splunk Enterprise**、**Sysmon** 和 **Splunk Universal Forwarder** 构建，用于 Windows 端点监控、日志分析和威胁检测。 # 📌 项目摘要 该项目通过收集 Windows 端点遥测数据并使用 Splunk Enterprise 分析安全事件，模拟了真实世界的安全运营中心（SOC）环境。 主要目标是加强以下方面的实践技能： - 安全监控 - Windows 事件分析 - 威胁检测 - 仪表板开发 - 检测工程 - SPL 查询开发 # 🏗️ 实验环境 | 组件 | 用途 | |-----------|---------| | Windows 11 虚拟机 | 端点监控 | | Kali Linux | 攻击模拟与测试 | | Sysmon | Windows 端点遥测 | | Splunk Universal Forwarder | 日志收集与转发 | | Splunk Enterprise | SIEM 平台 | # 🔍 监控仪表板 监控仪表板提供了对 Windows 端点活动的实时可见性。 ### 功能 - 总事件数 - 进程创建 - DNS 查询 - 网络连接 - 事件时间线 - 运行中的进程 - 父进程 - PowerShell 活动 - 最近的网络连接 ## 仪表板截图     # 🚨 检测仪表板 开发了自定义 SPL 检测规则，以识别可疑的端点活动。 ### 检测规则 - PowerShell 执行 - 命令提示符执行 - 编码 PowerShell 检测 - 注册表持久化 - 文件创建监控 - DNS 请求 - 网络连接 - 可执行文件下载 ## 仪表板截图    # 🛠️ 展示技能 - Splunk Enterprise - Search Processing Language (SPL) - Sysmon 配置 - Windows 事件分析 - SIEM 监控 - 威胁检测 - 仪表板开发 - 日志收集与标准化 - 蓝队基础 # 🚀 未来改进 - Windows Server 集成 - Active Directory 部署 - MITRE ATT&CK 映射 - Splunk 告警 - 威胁狩猎仪表板 - 事件响应手册 # 👨‍💻 作者 **Firas Saud** 信息技术学生 对网络安全、SOC 运营和蓝队感兴趣。

标签：AMSI绕过, Sysmon, 威胁检测, 安全实验室, 安全运营, 扫描框架, 速率限制