cecilsjs/Enterprise-SOC-Lab

# 企业级 SOC 分析师实验室 ## 概述 本项目是一个专注于 Windows 的 SOC 分析师实验室，旨在培养在 Windows Event Viewer、端点日志调查、身份验证分析、Active Directory 基础知识、SIEM 仪表盘、警报分类、工单工作流、证据收集和事件响应文档记录方面的实用技能。 SOC 代表 **Security Operations Center**。 本项目的目的是超越基于 Linux 的安全监控，积累 Windows 和企业级安全运营工作流的实践经验。 ## 项目目标 本实验室的目标是： - 调查 Windows Security 日志 - 了解重要的 Windows Event ID - 分析成功和失败的登录事件 - 练习从 Windows Event Viewer 收集证据 - 构建 Active Directory 和企业身份管理知识 - 获得 SIEM 仪表盘和警报分类经验 - 练习模拟工单和事件响应工作流 - 清晰地记录调查过程，以丰富网络安全作品集 ## 实验环境 | 组件 | 描述 | |---|---| | 宿主机 | Windows 笔记本电脑 | | 日志源 | Windows Event Viewer | | 主要日志 | Security, System, Application | | 证据 | 截图和复制的事件详情 | | 文档 | GitHub | | 后续 additions | Active Directory, SIEM, 端点警报, 工单工作流 | ## 已完成项目 | 项目 | 标题 | 重点 | |---:|---|---| | 01 | Windows 事件日志调查 | Event Viewer, Event ID 4624, Event ID 4625, 登录类型, 证据收集 | ## 计划项目 | 项目 | 标题 | 重点 | |---:|---|---| | 02 | Windows 账户与安全事件 | 用户活动, 账户变更, 锁定, 特权事件 | | 03 | Active Directory 安全基础 | 用户, 组, 组织单位, 权限 | | 04 | SIEM 日志转发与仪表盘展示 | 集中式日志审查和警报可见性 | | 05 | 端点警报分类 | 调查可疑的端点活动 | | 06 | 模拟工单与事件响应工作流 | 分类, 工单记录, 严重程度, 证据, 建议 | ## 展示技能 本项目展示了以下方面的技能： - Windows Event Viewer - Windows Security 日志 - Event ID 分析 - 身份验证调查 - 登录类型解读 - 证据收集 - 安全文档记录 - SOC 分析师工作流 - 事件调查基础 ## 关键 Windows Event ID | Event ID | 含义 | |---:|---| | 4624 | 账户成功登录 | | 4625 | 账户登录失败 | | 4634 | 账户已注销 | | 4672 | 为新登录分配了特殊权限 | | 4720 | 创建了用户账户 | | 4726 | 删除了用户账户 | | 4740 | 用户账户被锁定 | ## 项目 01 总结 在项目 01 中，我使用 Event Viewer 审查了 Windows Security 日志，并筛选了 Event ID 4624 和 4625。 我识别了： - 成功的登录活动 - 失败的登录活动 - Logon Type 5 服务登录 - Logon Type 2 交互式登录 - Logon Type 3 网络登录 - 登录失败原因：未知的用户名或密码错误 我使用截图收集了证据，并将 Event Viewer 的详细信息作为文本复制。 ## 本项目的重要性 许多初级 SOC 分析师职位都要求具备审查 Windows 端点日志、识别身份验证活动、理解常见 Event ID、收集证据以及清晰解释发现的能力。 本项目通过实践性的 Windows 调查和文档记录来培养这些技能。 ## 后续步骤 后续的添加内容将包括： - 更多 Windows Security Event ID 调查 - Active Directory 基础 - 用户和组的安全审查 - SIEM 仪表盘练习 - 端点警报分类 - 模拟工单工作流 - 事件响应文档记录

标签：Active Directory, Plaso, Terraform 安全, 子域枚举, 安全运营, 库, 应急响应, 扫描框架, 网络安全, 隐私保护