J-Walker-Git/project-2-siem-log-analysis

# SIEM 日志分析实验室 本项目展示了一个对新手友好的 SOC 实验室，该实验室使用 Microsoft Sentinel、Azure Arc 以及运行在 VMware Workstation Pro 中的 Windows 11 虚拟机构建。它演示了如何接入终端、验证遥测数据、查询安全日志，以及调查失败的认证活动。 ## 总结 构建此实验室是为了练习 Windows 事件日志收集、数据连接器设置、KQL 调查和基础检测验证。该项目展示了从将 VM 接入 Azure 到确认日志摄取并在 Sentinel 中运行查询的完整路径。 ## 目标 - 将 Windows 11 VM 接入 Azure Arc。 - 配置 Microsoft Sentinel 进行日志分析。 - 创建并验证 Windows Security Events 数据收集规则。 - 确认在 Log Analytics 中成功摄取 SecurityEvent。 - 使用 KQL 调查失败的登录。 ## 实验室技术栈 - VMware Workstation Pro - Windows 11 x64 VM - Azure Arc - Microsoft Sentinel - Log Analytics Workspace - Azure Monitor Agent - Windows Security Events ## 证据序列 **1.** **Azure Arc 已连接**  **2.** **Azure Arc 接入脚本**  **3.** **通过 AMA 连接器获取 Windows Security Events**  **4.** **SecurityEvent 查询结果**  **5.** **失败登录调查**  ## KQL Kusto Query Language 是一种用于通过识别模式、异常和离群值来探索数据的工具。 与结构化查询语言 (SQL) 相比，该语言更易于阅读，并且能更直接地表达意图。 **KQL 示例** SecurityEvent | where Computer contains "SOC-WIN11" | sort by TimeGenerated desc | take 50 **SQL 示例** SELECT TOP 50 * FROM SecurityEvent WHERE Computer LIKE '%SOC-WIN11%' ORDER BY TimeGenerated DESC;  ## 展示的核心技能 - 云端接入与终端集成。 - SIEM 配置与验证。 - KQL 查询。 - 安全事件分类筛选。 - 技术文档编写。 ## 备注 这是一个新手实验室项目，但反映了真实的 SOC 基础知识： - 资产接入 - 日志收集 - 事件验证 ## 未来改进 我可以通过以下方式在目前已展示的内容基础上进行扩展： - 增加攻击活动以进行更深入的调查 - 添加基础威胁狩猎 - 添加更多 KQL 威胁狩猎查询 - 创建针对重复失败登录的分析规则 - 在 Sentinel 中收集 Defender 警报

标签：AMSI绕过, Azure, Microsoft Sentinel, 威胁检测, 安全运营, 扫描框架