Security Operations Center — знакомство, лучшие практики, стандарты, инструменты

Содержание:

• Составные части SOC
• Основные принципы работы SOC (процессы, плейбуки, ранбуки)
• SOC роли и обязанности участников
• Инвентаризация серверов/сервисов. Списки ответсвенных.
• Обработка алертов, эскалации, политики компании
• SIEM Системы (общая архитектура: агенты, BD, корреляторы)
• Инструменты автоматизации ИБ (UBA/UEBA, SIEM/SOAR, DLP, FW, WAF, IDS, IPS, Endpoint Security (EDR), Antivirus, XDR; CORTEX, n8n, pytest, IRP, TI)

Упражнения:

• Демонстрация систем автоматизации ИБ для подготовки к работе с ПО.
• ELK/Splunk (предоставить docker compose или попросить попробовать в облаках)
• Задачи на поиск информации в системах SIEM
• Установить пару агентов и собрать логи в файл

Содержание:

• Данные: как собирать, как нормализовать. Нейминг полей, модель данных
• Агрегирование журналов через SIEM
• Агрегирование данных конечных точек
• Vector, kafka. Путь лога. Отказоустойчивость архитектуры.
• ELK стэк: Elastic , Kibana, Logstash.
• Сбор событий, артефактов. Форензика.
• Корреляция событий. Подходы создания правил. Примеры конвертации информациии из TI в алерты.

Упражнения:

• Настройка системы аггрегации и корреляции событий с конечных точек (ELK)

Содержание:

• Подготовка набора инструментов для дальнейшего сбора событий
• SIEM мониторинг и корреляция
• Мониторинг и логирование событий в сети и на хостах с помощью системы обнаружения вторжений/системы предотвращения вторжений (IDS/IPS, DNS, netflow, RADIUS, DHCP, Syslog, DC AD)
• Мониторинг корпоративной инфраструктуры в режиме реального времени (Сеть: IDS/IPS, ОС: EDR/Antivirus Win/Lin, Приложения: WAF, DLP)

Упражнения:

• Настройка систем регистрирования инцидентов (IDS: PFSense + Suricata, WAF: Apache + ModSecurity, Logs: Linux + syslog)

В рамках занятия будут рассмотрены атаки и их особенности обнаружения на различных уровнях сетевой модели OSI

Содержание:

• Детектирование атак на канальном уровне (L2). ARP-spoofing, DHCP-snooping, VLAN-Hooping, STP-Attack, атака и обнаружение LLMNR/NBT-NS Poisoning
• Детектирование атак на сетевом уровне (L3). Внедрение фейкового маршрута OSPF
• Детектирование атак на транспортном уровне(L4). Атака tcp-hijacking
• Детектирование атак на сеансовом уровне (L5). RPC attack, SSL-Split
• Детектирование атак на уровне приложений (L7). DNS-Spoofing, SQLinjection, SMTP enumeration

Упражнения:

• Разбор атакующего трафика и поиск аномалий в сетевом трафике

Содержание:

• Обнаружение сканирования инфраструктуры
• Особенности обнаружения BruteForce атак с точки зрения анализа косвенных данных сетевых узлов
• Обнаружение эксплуатации популярных уязвимостей ОС (EternalBlue, Zerologon, любые)
• Заражение ВПО (почта, загрузки, мессенджеры)

Упражнения:

• Детектирование атак сканирования
• Проведение атаки применения эксплойта и ее обнаружение

Содержание:

• Прикладные протоколы и атаки на них (HTTP, FTP, SSH, SMTP, RDP, SMB)
• Типовые атаки на прикладные протоколы и ПО
• Обнаружение атак (Сбор событий)

Упражнения:

• Проведение атаки на протокол SSH, обнаружение и верификация
• Проведение атаки на веб-приложение Unrestricted File Upload, обнаружение и верификация
• RCE, SSRF

Содержание:

• Способы и методы скрытия трафика. Особенности работы туннелирования (ICMP/DNS/SSH-тунели)
• Способы и методы обнаружения скрытых туннелей и Remote Administration Tools (rAdmin, TeamViewer etc.)

Упражнения:

• Обнаружение активности RAT
• Обнаружение скрытых тоннелей. ICMP-tunneling
• Обнаружение скрытых тоннелей. DNS-tunneling

Содержание:

• Воркфлоу реагирования на инцидент
• Тактика реагирования на инцидент (Windows, Linux, Cloud, K8S)
• Координирование реагирования и устранения последствий
• Анализ по завершении инцидента
• Описание правил по реагированию на инциденты и создание плейбуков и ранбуков.
• Координация исправления уязвимости

Упражнения:

• Практика на отработку реагирования на инцидент через генерацию атакующих векторов на созданную подготовленную SIEM систему

Содержание:

• Обследование ОС
• Работа с памятью
• Работа с журналами
• Изучение реестра
• Анализ файловой системы

Упражнения:

• Поиск аномалий и следов компрометации в ОС Windows

Содержание:

• Ликвидация последствий инцидентов ИБ (восстановление файлов из памяти, резервные копии и т.д.)
• С чего начинать SOC и как развивать SOC?
• Добавление Threat Intelligence

Упражнения:

• Восстановление данных после инцидента