awesome-soc-analyst

Wir haben gerade nützliche Ressourcen für SOC-Analysten und SOC-Analysten-Kandidaten gesammelt.

Dieses Repository wird von LetsDefend gepflegt. Füge gerne neue Ressourcen hinzu.

Inhaltsverzeichnis

• Bücher
• Malware-Analyse
• Übungslabore
• Phishing-Analyse
• Werkzeuge für Untersuchungen
• Netzwerk-Logquellen
  • Netzwerkgeräte-Logs
  • Linux-Firewall-Logs
  • SMB-Logs
  • Windows-Firewall-Logs
• Logs von Netzwerksicherheitsgeräten
  • IDS/IPS-Logs
  • Netzwerk-Firewall-Logs
  • Web Application Firewall (WAF)-Logs
• Webserver-Logs
  • Apache-Logs
  • IIS-Logs
  • Nginx-Logs
• Forensische Artefakte
  • Browserverlauf und Cache
  • DNS-Cache/-Verlauf
  • Hosts-Datei
  • Remote Desktop Protocol (RDP)-Cache/-Verlauf/-Logs
• Wichtige Windows-Logs für Untersuchungen
  • DLP-Logs (Data Loss Prevention)
  • Endpoint-Sicherheitslösungs-Logs
  • Ereignisprotokolle (Event Logs)
  • Dateiintegritätsüberwachungs-Logs (FIM)
  • Ereignisprotokolle (Event Logs)
  • Honeypot-Logs
  • MSSQL-Logs
  • PowerShell-Logs
  • Aufgabenplaner-Logs
  • Windows Defender
  • WMI-Logs
• Linux-System-Logs
  • Auth-Log
  • Kernel-Log
  • Syslog

Bücher

• Practical Malware Analysis: The Hands-On Guide to Dissecting Malicious Software
• Blue Team Field Manual (BTFM)
• Applied Network Security Monitoring: Collection, Detection, and Analysis
• Blue Team Handbook: Incident Response Edition: A condensed field guide for the Cyber Security Incident Responder
• The Practice of Network Security Monitoring: Understanding Incident Detection and Response
• Jump-start Your SOC Analyst Career: A Roadmap to Cybersecurity Success

Malware-Analyse

• VirusTotal – Analysiere verdächtige Dateien, Domains, IPs und URLs, um Malware und andere Sicherheitsverletzungen zu erkennen, und teile sie automatisch mit der Sicherheitscommunity.
• Hybrid Analysis – Dies ist ein kostenloser Malware-Analyse-Dienst für die Community, der unbekannte Bedrohungen mithilfe einer einzigartigen Hybrid-Analyse-Technologie erkennt und analysiert.
• YARA – YARA ist ein plattformübergreifendes Programm, das unter Windows, Linux und Mac OS X läuft.
• Malware Analysis Fundamentals
• Cuckoo Sandbox – Du kannst jede verdächtige Datei hineinwerfen, und innerhalb weniger Minuten liefert Cuckoo einen detaillierten Bericht, der das Verhalten der Datei beschreibt, wenn sie in einer realistischen, aber isolierten Umgebung ausgeführt wird.
• IDA – IDA Pro als Disassembler ist in der Lage, Karten ihrer Ausführung zu erstellen, um die binären Anweisungen, die tatsächlich vom Prozessor ausgeführt werden, in einer symbolischen Darstellung zu zeigen.
• DOCGuard – Null Fehlalarme bei Office-Malware-Bedrohungen
• Immunity Debugger – Immunity Debugger ist ein dynamisches Analysetool, das die Analyse von ausführbaren Dateien auf Assembly-Ebene mit Reverse-Engineering-Techniken ermöglicht.

Übungslabore

• DetectionLab – DetectionLab ist ein Repository, das eine Vielzahl von Packer-, Vagrant-, PowerShell-, Ansible- und Terraform-Skripten enthält, mit denen du den Prozess der Bereitstellung einer ActiveDirectory-Umgebung mit Protokollierung und Sicherheitstools über verschiedene Plattformen hinweg automatisieren kannst.
• LetsDefend – Praxisorientierte SOC-Analysten-Schulung
• attack_range – Der Splunk Attack Range ist ein Open-Source-Projekt, das vom Splunk Threat Research Team betreut wird. Es baut instrumentierte Cloud- und lokale Umgebungen auf, simuliert Angriffe und leitet die Daten an eine Splunk-Instanz weiter.
• BlueTeam.Lab – Ziel dieses Projekts ist es, den roten und blauen Teams die Möglichkeit zu geben, ein Ad-hoc-Erkennungslabor bereitzustellen, um verschiedene Angriffe und forensische Artefakte in der neuesten Windows-Umgebung zu testen und dann einen 'SOC-ähnlichen' Einblick in die generierten Daten zu erhalten.

Phishing-Analyse

• MxToolbox – Listet MX-Einträge für eine Domain in der Prioritätsreihenfolge auf.
• Phishing-Email-Analyse-Kurs – KOSTENLOS – Lerne, den häufigsten Angriffsvektor in der Cybersicherheitsbranche zu analysieren.

Werkzeuge für Untersuchungen

• Process Hacker – Großartiges Tool zur Überwachung des Systems und Erkennung verdächtiger Situationen. Es ist auch kostenlos.
• Procmon – Das Procmon-Tool (Process Monitor) ist ein nützliches Tool, das Echtzeitinformationen bereitstellt, indem es die Aktivitäten von Prozessen unter Windows überwacht.
• Volatility – Volatility ist ein Tool, das die Analyse von Speicherabbildern ermöglicht, die von einem kompromittierten System während des Incident-Response-Prozesses erstellt wurden.
• Wireshark – Wireshark ist ein Tool, mit dem Netzwerkpakete, die über Netzwerkschnittstellen auf dem System laufen, erfasst, analysiert und aufgezeichnet werden können.
• BrowsingHistoryView – Zeigt den Verlauf verschiedener Browser in einer Tabelle an.

Netzwerk-Logquellen

Netzwerkgeräte-Logs

Netzwerkgeräte können manchmal von Angreifern ins Visier genommen werden, da Netzwerkgeräte wie Router und Switches zur Paketweiterleitung fähig sind. Wenn der Angreifer die Verwaltung eines solchen Geräts beeinträchtigt und die vorhandenen Listen ändert, kann dies den Verlauf und die Auswirkung des Angriffs verändern. Es ist sinnvoll, die Listen von Netzwerkgeräten regelmäßig zu überprüfen, um diese Situationen zu erkennen. Darüber hinaus sollten, falls vom Gerät Logs erzeugt werden, auch solche Aufzeichnungen untersucht werden.

Linux-Firewall-Logs

UFW (Uncomplicated Firewall) ist ein Firewall-Tool, mit dem wir Port- und Firewall-Operationen sowohl auf der Konsole als auch über die GUI (grafische Oberfläche) durchführen können. Es ist in Linux-Systemen vorinstalliert, muss aber aktiviert werden. Es führt Operationen wie jede andere Firewall-Software durch. Bei der Analyse von Linux-Systemen sollten die Linux-Firewall-Logs untersucht werden.