browndarwin231-Tech/Darwin-LetsDefend-Monitoring-Incident-Response

# Darwin-LetsDefend-监控与事件响应 ## 概述 完成了 LetsDefend 监控与事件响应实验，包括监控安全告警、调查关键的 Web 攻击、创建事件案例、分析恶意流量、记录 IOC、确定升级需求以及完成事件响应 Playbook。 ## 展示的技能 - 安全监控 - 告警分发 - 事件调查 - Web 攻击分析 - IOC 收集 - 事件记录 - 案例管理 - 流量分析 - 升级流程 - SOC 运营 ## 使用的工具 - LetsDefend - 安全监控仪表板 - 案例管理 - 事件响应 Playbook # 调查工作流 ### 1. Lets Defend 监控仪表板 监控 SOC 仪表板以获取活动的安全告警，并识别出需要调查的关键 Web 攻击。 ##  ### 2. 主通道告警 查看了监控平台生成的关键告警。  ### 3. 告警归属 认领了该安全告警的所有权以开始调查。  ### 4. 调查工作区 将告警移至调查队列中进行分析。  ### 5. 创建案例 创建了一个事件案例以跟踪调查进度。  ### 6. 事件详情 审查了事件摘要和攻击信息。  ### 7. 流量分析决策 确定观察到的流量是恶意的。  ### 8. 攻击分类 识别出该攻击为针对 Microsoft SharePoint ToolShell 的命令注入漏洞。  ### 9. 流量方向分析 确认恶意流量源自互联网并针对内部网络。  ### 10. 攻击成功评估 根据调查结果确定攻击已成功。  ### 11. IOC 记录 将攻击者的 IP 地址记录为失陷标示 (IOC)。 **IOC** | 类型 | 值 | |------|------| | IP Address | 107.191.58.76 |  ### 12. 升级决策 由于被成功攻陷，将事件升级至 Tier 2。  ### 13. 分析师调查笔记 记录了调查结果、攻击行为、受影响的系统以及建议。  ### 14. Playbook 已完成 成功完成了事件响应 Playbook 并结束了调查。  # 失陷标示 (IOCs) | 指示器 | 值 | |------------|----------------| | Source IP | 107.191.58.76 | | Destination IP | 172.16.20.17 | | Attack Type | Command Injection | | Event ID | 320 | | Severity | Critical | | Category | Web Attack | # 关键要点 在这次调查中，我获得了以下方面的实践经验： - 监控实时 SOC 告警 - 调查安全事件 - 执行告警分发 - 分析恶意 Web 流量 - 识别失陷标示 (IOC) - 记录分析师的发现 - 管理事件案例 - 遵循事件响应流程 - 做出升级决策 - 完成事件响应 Playbook ## MITRE ATT&CK - 初始访问 - 执行 - 命令和脚本解释器 - 利用面向公众的应用程序 ## 平台 - LetsDefend ## 状态 **已完成** 作者：Darwin Brown JR. 有志成为 SOC Tier 1 的分析师