Windows Threat Hunting With Elastic Stack

مهدی میرسلطانی

پیشرفته
مسیر آبی
۶ درس

ثبت نام سازمانی این دوره

تاریخ شروع

۲۲ آذر ۱۳۹۹

طول دوره

۳۲ ساعت

گواهی‌نامه و آزمون

دارد

ظرفیت

۰ نفر باقی مانده

درباره‌ی این دوره

امنیت سایبری در سال‌های اخیر در کنار جلوگیری و پیش‌گیری از حملات، بر روی شناسایی تهدیدات و حملات سایبری در زیرساخت متمرکز شده است. در همین راستا ابزارها و راهکارهای متنوعی نیز توسط شرکت‌های امنیتی مختلف در سراسر دنیا ارایه شده، و SIEM‌ یکی از پرکاربردترین این راهکارها می‌باشد. هریک از محصولات SIEM‌ ارایه شده توسط شرکت‌های مختلف، معایب و مزایای خاص خود راه به همراه دارد که همین موارد سبب گردیده تا سازمان‌ها در انتخاب مناسب‌ترین محصول SIEM بر اساس نیازهای خود با چالش‌هایی روبرو باشند.یکی از پرکاربردترین محصولات SIEM در دنیا و به خصوص در ایران ELK‌ می‌باشد که بر پایه‌ی محصول متن‌باز Elastic Search طراحی و ارایه شده است. این محصول در صورت پیکربندی و معماری صحیح، در کنار یکی سری از ابزارهای مکمل دیگر قابلیت رقابت با بهترین محصولات تجاری روز دنیا را دارد. در این دوره به آموزش معماری این محصول و شکار تهدیدات سایبری در زیرساخت‌های ویندوزی با استفاده از آن پرداخته می‌شود. از مهم‌ترین مطالب ارایه شده در این دوره می‌توان به بررسی ساختار استاندارد یک SIEM، معرفی ELK به همراه آموزش معماری و ویژگی‌های آن و در نهایت جمع‌آوری وقایع و شکار تهدیدات سایبری با استفاده از ELK‌، اشاره کرد.‌

این دوره به چه افرادی توصیه می‌شود؟

تحلیل‌گران و مهندسین SOC
کارشناسان فعال در زمینه Forensic Investigation
کارشناسان امنیت سایبری در سازمان‌ها
کارشناسان شکار تهدیدات سایبری
کارشناسان پاسخ‌گویی به تهدیدات سایبری (CSIRT)

برای حضور در این دوره چه دانش‌هایی باید داشته باشم؟

آشنایی با مفاهیم و اصول شبکه
آشنایی با پروتکل‌های پرکاربرد TCP/IP
آشنایی با مفاهیم و تعاریف حملات سایبری
آشنایی با زیرساخت‌های مجازی‌سازی VMware
حداقل یک سال تجربه‌ی کار در زمینه‌های مرتبط

سرفصل‌های دوره

Introduction to SIEM
- What is SIEM
- Why do We Need SIEM
- How Can We Use SIEM
ELK
- Introduction to ELK
  - Applied Collection of Framework
  - ELK Components
- Lab Installation
  - Lab Environment Overview
  - Environment
  - Environment Logstash
  - Environment Kibana
- Indexing and Searching Data in Elastic
  - ES Docs (Types and Indexes)
  - ES Basic CRUD
  - Search in ES
  - ES Aggregations
  - Mapping Index Data
- Logstash Input, Filtering, and Output
  - Logstash Input
  - More About Logstash Input
  - Logstash Filtering Structured Data
  - Logstash Filtering Unstructured Data
  - Logstash Output
- Searching and Visualizing Data in Kibana
  - Kibana Index Patterns and the Discover Page
  - Searching Data in Kibana
  - Building Visualizations in Kibana
  - Dashboard Structure
  - Dashboard Overview
  - High Performance Dashboard
- Data Pipeline
  - Windows and Sysmon Logs
  - Data Pipeline Operational Logs
Be the Hunter
- What is Hunting?
- Choosing Your Framework
  - MITRE ATT&CK
  - KILLCHAIN
- Hunting Structure
- What is Rule and Use Case?
- Sample Rules
Windows Event Logging and Forwarding
- Event Categories
- Event Category Configuration AND Auditing
- Event Forwarding
  - WEF (Windows Event Forwarding)
  - Filebeat
  - Winlogbeat
- Powershell Logging
- LDAP Logging
Sysmon
- Introduction to Sysmon
- Configuration and Installment
- Threat Hunting with Sysmon
Windows Log Analyzing with SIEM
- Visualizing Data Field
- Mapping Windows Logs With MITRE Framework
- Dive to Authentication
  - Logon Types
  - Login Fail Types
  - Login Success Full Type
  - Kerberos Authentication Logs
- Sigma Generic Signature Format for SIEM Systems
- Correlation Rules with Sigma
- Lateral Movement Detection