shasikumaranala-lab/enterprise-soc-lab-splunk

# 使用 Splunk 和 Active Directory 的企业 SOC 实验室 ## 项目概述 本项目演示了如何使用 Splunk Enterprise、Active Directory 和 Windows 事件日志来设计和实现一个安全运营中心 (SOC) 家庭实验室。 该实验室模拟了一个小型企业环境，其中 Windows 系统生成安全事件，并使用 Splunk Universal Forwarder 将这些事件转发到 Splunk Enterprise。收集到的日志通过自定义的 SPL 查询、检测规则、仪表板和事件调查进行分析。 本项目展示了实用的安全工程概念，包括 SIEM 部署、集中式日志记录、Windows 监控、检测工程以及事件响应文档。 ## 项目目标 - 构建企业级 SOC 家庭实验室 - 将 Splunk Enterprise 部署为 SIEM 平台 - 配置集中式 Windows 事件日志收集 - 监控身份验证和 Windows 安全事件 - 开发自定义 SPL 检测规则 - 构建交互式 SOC 仪表板 - 使用 Windows 事件日志调查安全事件 - 记录检测逻辑和调查工作流 ## 项目亮点 - SIEM 平台：Splunk Enterprise 10.4 - 身份管理：Active Directory - 日志收集：Splunk Universal Forwarder - 数据源：Windows 事件日志 - 检测工程：自定义 SPL 告警 - 仪表板开发：交互式 SOC 仪表板 - 调查：Windows 事件分析 - 文档：企业级技术文档 # 架构 ``` +----------------------+ | Windows 11 Client | +----------+-----------+ | | +-------------+ +---------v---------+ | Ubuntu | | Windows Server | | Server | | 2022 Domain Ctrl | +-------------+ +---------+---------+ | Splunk Universal Forwarder | | v +---------------------------+ | Splunk Enterprise | | Host Machine | +---------------------------+ ``` 详细文档可在以下位置找到： ``` architecture/ ``` # 实验室环境 | 组件 | 技术 | |-----------|------------| | SIEM | Splunk Enterprise 10.4 | | 日志转发器 | Splunk Universal Forwarder | | 域控制器 | Windows Server 2022 | | 客户端机器 | Windows 11 | | Linux 服务器 | Ubuntu Server | | 身份验证 | Active Directory | | 虚拟化 | VirtualBox | # 功能 - Windows 事件日志收集 - Active Directory 集成 - 身份验证监控 - 安全事件可视化 - 检测工程 - 安全仪表板开发 - Windows 事件调查 - 事件文档记录 - SPL 查询库 - 安全报告 # 检测规则 本项目包含以下内容的书面检测规则： - 暴力破解检测 - 多次失败后的成功登录 - 新用户帐户创建 - 特权组成员身份更改 - 密码重置活动 - 帐户锁定检测 每项检测均包含： - 目的 - Windows 事件 ID - MITRE ATT&CK 映射 - SPL 查询 - 调查步骤 - 误报 - 建议响应 文档： ``` detections/ ``` # 安全仪表板 企业 SOC 仪表板包含： - 身份验证统计信息 - Windows 事件分布 - 调查时间线 - 热门主机 - 事件类型 - 最近的安全事件 仪表板文档： ``` dashboards/ ``` # 事件调查 本项目包含的示例 SOC 调查： - 暴力破解身份验证尝试 - 新用户帐户调查 - 特权组成员身份调查 - 密码重置调查 - 事件调查模板 文档： ``` investigations/ ``` # SPL 查询库 本项目包含可重复使用的 Splunk SPL 查询，用于： - 身份验证监控 - 仪表板面板 - 检测规则 - Windows 事件调查 文档： ``` spl_queries/ ``` # 配置 包含的示例 Splunk 配置文件： - inputs.conf - outputs.conf - server.conf 这些文件演示了如何收集 Windows 事件日志并将其转发到 Splunk Enterprise。 文档： ``` configs/ ``` # 安全报告 示例 SOC 报告文档包括： - 每周安全报告 - 执行摘要 - 安全指标 文档： ``` reports/ ``` # 截图 ### 企业 SOC 仪表板  该仪表板为身份验证活动、Windows 安全事件和调查时间线提供集中式监控。 ### 身份验证统计信息  显示从实验室环境中收集的 Windows 成功和失败的身份验证事件。 ### 安全统计信息  提供 Windows 安全事件及其在受监控系统中的分布情况概览。 ### 调查时间线  可视化安全事件的时间顺序，以支持事件调查。 ### 检测规则  使用 Splunk 处理语言 (SPL) 创建的自定义检测规则，用于识别可疑的身份验证活动。 ### Active Directory 环境  配置为 Active Directory 域控制器的 Windows Server 2022，用于企业 SOC 实验室。 ### Windows 事件查看器  由操作系统生成并在转发到 Splunk Enterprise 之前的 Windows 安全事件日志。 ### Splunk Universal Forwarder 配置  Splunk Universal Forwarder 的配置，负责收集 Windows 事件日志并将其转发到 Splunk Enterprise。 ## 更多截图 更多展示 SPL 搜索、已索引事件、检测告警和完整监控工作流的截图可在 [`screenshots/`](screenshots/) 目录中找到。 # 项目结构 ``` enterprise-soc-lab-splunk/ │ ├── README.md ├── LICENSE ├── SECURITY.md ├── CONTRIBUTING.md ├── CHANGELOG.md ├── .gitignore │ ├── architecture/ │ └── architecture.md │ ├── configs/ │ ├── README.md │ ├── inputs.conf │ ├── outputs.conf │ └── server.conf │ ├── dashboards/ │ ├── README.md │ ├── dashboard-panels.md │ ├── dashboard-setup.md │ └── enterprise-soc-dashboard.md │ ├── detections/ │ ├── brute-force-detection.md │ ├── successful-login-after-failures.md │ ├── new-user-created.md │ ├── privileged-group-change.md │ ├── password-reset.md │ └── account-lockout.md │ ├── investigations/ │ ├── brute-force-case.md │ ├── new-user-investigation.md │ ├── privilege-escalation.md │ ├── password-reset-investigation.md │ └── incident-template.md │ ├── lab/ │ └── environment.md │ ├── reports/ │ ├── executive-summary.md │ ├── metrics.md │ └── weekly-security-report.md │ ├── screenshots/ │ └── spl_queries/ ├── authentication.md ├── dashboard-queries.md ├── detection-queries.md └── windows-event-queries.md ``` # 未来增强功能 - Sysmon 集成 - Linux Syslog 收集 - Microsoft Sysinternals - Sigma 规则集成 - 扩展 MITRE ATT&CK 覆盖范围 - 威胁狩猎手册 - 电子邮件告警 - Splunk Enterprise Security - SOAR 集成 - 检测规则扩展 # 学习成果 本项目展示了在以下方面的实践经验： - SIEM 部署 - Windows 事件日志记录 - Active Directory - Splunk Enterprise - Splunk Universal Forwarders - 检测工程 - SPL（搜索处理语言） - 安全监控 - 事件调查 - 仪表板开发 - 安全报告 - SOC 文档 # 作者 **Anala Shasi Kumar** 安全工程项目集项目 LinkedIn：*[（点击）](https://www.linkedin.com/in/anala-shasi-kumar/)* ## 许可证 本项目基于 MIT 许可证授权。有关详细信息，请参阅 `LICENSE` 文件。

标签：Active Directory, Plaso, Terraform 安全, Windows监控, 企业安全, 安全运营中心, 红队行动, 网络映射, 网络资产管理