Justjeff211/enterprise-hybrid-soc-lab

# 企业混合 SOC 实验室 — Stoneage Logistics []() []() []() []() []() **一个模拟真实安全咨询项目的自主 SOC 构建** —— 端到端地为一家虚构的物流客户设计、 部署和防御混合 Azure 环境：从 landing zone 到检测工程、威胁狩猎和事件响应。 ## 展示的技能 | 领域 | 状态 | 本仓库中的证据 | |---|---|---| | 云架构与 IaC | ✅ 已构建 | Hub-spoke 网络设计，5 个 Bicep 模板，CLI 部署自动化 — `iac/bicep/foundation/` | | Azure 管理（与 AZ-104 对齐） | ✅ 已构建 | 资源组、VNet/子网/NSG/peering、标签治理 — `docs/planning/03-az104-domain-mapping.md` | | 网络安全设计 | ✅ 已构建 | 分段 spoke、仅通过 Bastion 进行管理访问、最小权限 NSG 规则 — `docs/architecture/` | | 身份 (AD DS / Entra ID) | ⬜ 进行中 | 阶段 3 | | SIEM/XDR (Sentinel、Defender、Splunk、Wazuh) | ⬜ 计划中 | 阶段 7-10 | | 检测工程 (KQL、SPL、Sigma、YARA) | ⬜ 计划中 | 阶段 11 — `detections/` | | 威胁狩猎与 MITRE ATT&CK 映射 | ⬜ 计划中 | 阶段 12 — `threat-hunting/` | | 攻击模拟 (Atomic Red Team) | ⬜ 计划中 | 阶段 13 — `attack-simulations/` | | 事件响应与 SOAR | ⬜ 计划中 | 阶段 14-15 | *(此表格会随着项目的进展不断更新 —— 招聘人员或招聘经理可以一目了然地看到 哪些是已实现的，哪些是计划中的，而不是对成品的虚假承诺。)* ## 项目存在的原因 Stoneage Logistics 需要展示具备正常运行的安全监控和事件响应能力，以满足网络保险 要求以及来自其最大托运客户的合同安全证明。本仓库就是该项目的交付物：架构、基础设施 即代码、检测、剧本和事件文档，全部按照安全咨询公司的交付标准进行构建。 ## 快速开始 — 立即部署阶段 2 ``` az login cd scripts/bash chmod +x 01-deploy-phase2-foundation.sh ./01-deploy-phase2-foundation.sh ``` 就这么简单 —— 不需要 Terraform，也不需要手动在门户上点击。请参阅 `iac/bicep/foundation/README.md` 查看 验证命令和故障排除。该项目还明确映射了 AZ-104 考试领域 —— 请参阅 `docs/planning/03-az104-domain-mapping.md`。 ## 架构 ``` graph TB subgraph Hub["Hub VNet — 10.10.0.0/24 (South Africa North)"] FW[Azure Firewall] BAS[Azure Bastion] VPN[VPN Gateway] end subgraph SpokeID["Spoke: Identity — 10.10.10.0/24"] DC[Domain Controller
AD DS + DNS] ENTRA[Entra Connect] end subgraph SpokeSOC["Spoke: SOC Tools — 10.10.20.0/24"] SENT[Sentinel / Log Analytics] SPLK[Splunk Enterprise] WAZ[Wazuh Manager] end subgraph SpokeWL["Spoke: Workloads — 10.10.30.0/24"] WIN11[Windows 11 Endpoints] UBU[Ubuntu Servers] end subgraph SpokeNet["Spoke: Network Monitoring — 10.10.40.0/24"] ZEEK[Zeek] SURI[Suricata] end subgraph MDXDR["Microsoft Defender XDR"] MDE[Defender for Endpoint] MDI[Defender for Identity] MDCloud[Defender for Cloud] end WIN11 -->|Sysmon| SENT WIN11 -->|Sysmon| WAZ UBU -->|auditd/syslog| SENT UBU -->|auditd/syslog| WAZ DC -->|Security events| SENT FW -->|Traffic logs| SENT ZEEK -->|network telemetry| SPLK SURI -->|IDS alerts| SPLK MDE --> SENT MDI --> SENT MDCloud --> SENT Hub --- SpokeID Hub --- SpokeSOC Hub --- SpokeWL Hub --- SpokeNet ``` ## 仓库结构 ``` docs/planning/ Engagement overview, naming/IP plan, risk register docs/architecture/ Architecture decisions and diagrams docs/runbooks/ SOC operational runbooks and SOPs docs/incident-reports/ Written incident response reports from attack simulations iac/terraform/ Deployable infrastructure as code iac/bicep/ Bicep equivalents (Phase 16) detections/kql/ Microsoft Sentinel analytics rules detections/spl/ Splunk correlation searches detections/sigma/ Vendor-agnostic Sigma detection rules detections/yara/ YARA malware/artifact signatures detections/wazuh-rules/ Custom Wazuh detection rules threat-hunting/ Hypothesis-driven hunt documentation attack-simulations/ Atomic Red Team / Caldera simulation logs and results scripts/powershell/ Windows-side automation and configuration scripts scripts/bash/ Linux-side automation and configuration scripts screenshots/ Supporting evidence for each build phase ``` ## 项目路线图 | 阶段 | 状态 | 描述 | |---|---|---| | 1 | ✅ 已完成 | 规划 —— 命名、IP 地址分配、风险登记册 | | 2 | ✅ 已完成 | Azure 基础设施 —— 资源组、hub-spoke 网络、NSG (Terraform) | | 3 | ⬜ 下一步 | Active Directory —— Domain Controller、OU、用户、组、GPO | | 4 | ⬜ | Windows 端点 —— 加入域、Sysmon | | 5 | ⬜ | Linux 环境 —— auditd、syslog 转发 | | 6 | ⬜ | 网络监控 —— Zeek、Suricata、pfSense | | 7 | ⬜ | Wazuh —— manager + agents | | 8 | ⬜ | Microsoft Sentinel —— connector、workspace | | 9 | ⬜ | Splunk Enterprise | | 10 | ⬜ | Darktrace 集成设计 | | 11 | ⬜ | 检测工程 (KQL/SPL/Sigma/YARA/Wazuh) | | 12 | ⬜ | 威胁狩猎 | | 13 | ⬜ | 攻击模拟 (Atomic Red Team/Caldera) | | 14 | ⬜ | 事件响应文档 | | 15 | ⬜ | SOAR 剧本 | | 16 | ⬜ | Bicep 重构 | | 17 | ⬜ | 专业文档包 | ## 客户背景 **客户：** Stoneage Logistics（虚构）—— 区域性货运承运商 / 3PL，约 450 名员工。 **部署区域：** Azure South Africa North（满足南非业务的数据驻留要求）。 **主要合规驱动因素：** 网络保险承保要求，来自企业托运客户的合同安全证明。 **核心资产：** 仓库管理系统 (WMS)、调度/路由、EDI 合作伙伴订阅源、Active Directory、 车队远程信息处理/ELD 数据完整性。 **主要威胁模型：** 勒索软件（通过钓鱼/暴露的远程访问进行初始访问，向 WMS/文件服务器进行横向移动）， 以及针对权限过高的 EDI/合作伙伴服务账户的凭据窃取。 有关完整的项目简报，请参阅 `docs/planning/00-engagement-overview.md`。

标签：AI合规, Metaprompt, Terraform 安全, 安全咨询, 安全运营中心, 库, 应急响应, 应用安全, 混合云架构, 网络映射