letsdefend/awesome-soc-analystSOC विश्लेषक और SOC विश्लेषक उम्मीदवारों के लिए उपयोगी संसाधन।
हमने SOC विश्लेषकों और SOC विश्लेषक उम्मीदवारों के लिए उपयोगी संसाधन एकत्र किए हैं।
यह रिपॉजिटरी LetsDefend द्वारा बनाए रखा जाता है। यहां नए संसाधन जोड़ने के लिए स्वतंत्र महसूस करें।
नेटवर्क उपकरण कभी-कभी हमलावरों द्वारा लक्षित किए जा सकते हैं क्योंकि राउटर और स्विच जैसे नेटवर्क उपकरण पैकेट रूटिंग में सक्षम होते हैं। यदि हमलावर ऐसे उपकरण के प्रबंधन में हस्तक्षेप करता है और मौजूदा सूचियों को बदल देता है, तो यह हमले के पाठ्यक्रम और प्रभाव को बदल सकता है। इन स्थितियों का पता लगाने के लिए नियमित रूप से नेटवर्क उपकरणों की सूचियों की जांच करना उपयोगी है। इसके अलावा, यदि उपकरण द्वारा उत्पादित लॉग हैं, तो ऐसे रिकॉर्ड की भी जांच की जानी चाहिए।
UFW (Uncomplicated Firewall) एक फ़ायरवॉल उपकरण है जो हमें कंसोल और GUI (ग्राफिकल इंटरफ़ेस) दोनों पर पोर्ट और फ़ायरवॉल संचालन करने की अनुमति देता है। यह Linux सिस्टम में स्थापित आता है लेकिन इसे सक्रिय किया जाना चाहिए। यह अन्य फ़ायरवॉल सॉफ़्टवेयर की तरह ही संचालन करता है। Linux सिस्टम का विश्लेषण करते समय, Linux फ़ायरवॉल लॉग की जांच की जानी चाहिए।
Server Message Block (SMB) एक नेटवर्क प्रोटोकॉल है जो सर्वर और क्लाइंट के बीच संचार को सक्षम बनाता है। SMB प्रोटोकॉल साझा फ़ाइलों, नेटवर्क संचार, प्रिंटर साझाकरण और विभिन्न कनेक्शनों तक पहुंच प्रदान करता है। SMB कनेक्शन अक्सर Windows सिस्टम पर उपयोग किए जाते हैं। इसका महत्व विशेष रूप से डोमेन वातावरण में देखा जाता है। SMB प्रोटोकॉल, जिसे हमलावरों के लिए एक महत्वपूर्ण भेद्यता स्रोत के रूप में देखा जाता है, का रक्षा पक्ष के विश्लेषक द्वारा सावधानीपूर्वक पालन किए जाने की आवश्यकता है। इसलिए, SMB प्रोटोकॉल लॉग की उच्च प्राथमिकता के साथ जांच की जानी चाहिए।
Windows फ़ायरवॉल एक Microsoft-विकसित फ़ायरवॉल सॉफ़्टवेयर है जो ऑपरेटिंग सिस्टम के साथ स्थापित आता है। Windows फ़ायरवॉल आने वाले और बाहर जाने वाले ट्रैफ़िक को कॉन्फ़िगर कर सकते हैं। यह कॉन्फ़िगरेशन नियमों द्वारा प्रदान किया जाता है। Windows फ़ायरवॉल लॉग उन संसाधनों में से एक हैं जिनकी नेटवर्क द्वारा जांच की जा सकती है।
संगठन के अंदर या संगठन के बाहरी इंटरफ़ेस पर रखे गए घुसपैठ का पता लगाने और रोकथाम (IDS/IPS) उपकरण उन उल्लंघनों के बारे में जानकारी रिकॉर्ड करते हैं जिनका वे सामना करते हैं। विश्लेषक द्वारा इन लॉग की जांच से हमले के प्रकार और हमले से संबंधित कुछ नेटवर्क गतिविधियों का पता चल सकता है।
हार्डवेयर फ़ायरवॉल उपकरण वह स्थान हैं जहां संस्थान पर हमले सबसे पहले पूरे होते हैं और पैकेट को कुछ नियमों के अनुसार फ़िल्टर किया जाता है। इनका उपयोग संगठन के बाहरी पक्ष पर या संगठन के भीतर कुछ नेटवर्क विभाजन करने और इसकी सुरक्षा सुनिश्चित करने के लिए किया जा सकता है। दोनों ही मामलों में, इन उपकरणों के लॉग में हमलावर की नेटवर्क गतिविधियों का पता लगाना संभव हो सकता है। यह उन बिंदुओं में से एक है जिनकी जांच की जानी चाहिए।
यह वेब पक्ष पर स्थापित फ़ायरवॉल है जो एप्लिकेशन लेयर में होने वाले खतरों के अनुरूप है। एप्लिकेशन-स्तरीय हमले के उल्लंघनों के जवाब में इस खंड में महत्वपूर्ण रिकॉर्ड प्राप्त किए जा सकते हैं।
Apache एक ओपन-सोर्स वेब सर्वर सॉफ़्टवेयर है जो मुफ्त में उपलब्ध है। यह IT उद्योग में व्यापक रूप से उपयोग किया जाता है। यह बेहतर हो सकता है क्योंकि यह Unix और Windows दोनों सर्वरों पर काम करता है। Apache वेब सर्वर सॉफ़्टवेयर प्राप्त अनुरोधों के एक्सेस लॉग को रिकॉर्ड करता है। यह त्रुटि लॉग भी रखता है। वेब सर्वर के लिए बाहरी खतरों को देखने के लिए इन लॉग की जांच की जानी चाहिए।
IIS (Internet Information Services) Microsoft द्वारा विकसित एक वेब सर्वर है और Windows सिस्टम में समाहित है। इसकी स्थापना बहुत पहले Microsoft द्वारा की गई थी और इसका उपयोग किया जाता है। IT क्षेत्र में इसके उपयोग को देखते हुए, यह कहा जा सकता है कि इसका उपयोग काफी बार किया जाता है। IIS वेब सर्वर पर किए गए हमलों और उल्लंघनों को देखने के लिए, IIS के लॉग की जांच की जानी चाहिए।
Nginx एक वेब सर्वर सॉफ़्टवेयर है जिसका प्रदर्शन बहुत अधिक है, यह तेज़ है और अपने प्रतिस्पर्धियों की तुलना में कम संसाधन खपत की आवश्यकता होती है। इसकी पसंद और व्यापक उपयोग के कारण, इस वेब सर्वर के खिलाफ कई हमले विकसित किए जा सकते हैं। इन हमलों को देखने और उनका विश्लेषण करने के लिए, वेब सर्वर लॉग को संभाला और जांचा जाना चाहिए जैसे हम Apache और IIS वेब सर्वर के साथ करते हैं।
ब्राउज़र एक सॉफ़्टवेयर है जिसमें वेब पेज देखे जा सकते हैं। चूंकि इसका उपयोग जब्त सिस्टम में हमलावर द्वारा किया जा सकता है, विश्लेषण चरण के दौरान स्कैनर से जुड़े पते जैसे महत्वपूर्ण भागों की जांच की जानी चाहिए क्योंकि उनमें हमलावर का निशान हो सकता है।
DNS कैश वह खंड है जहां सिस्टम में क्वेरी किए गए DNS विश्लेषण रिकॉर्ड किए जाते हैं। यह हमलावर द्वारा उपयोग किए जा रहे कमांड और कंट्रोल सेंटर का पता लगाने में हमारी मदद कर सकता है। इसकी जांच की जानी चाहिए क्योंकि इसमें हमले के बारे में महत्वपूर्ण जानकारी हो सकती है।
होस्ट्स फ़ाइल उन पहले स्थानों में से एक है जहां हम DNS सर्वर का संदर्भ लेने से पहले IP पता खोजने के लिए DNS विश्लेषण शुरू करते हैं। जब्त सिस्टम में, हमलावर द्वारा इस फ़ाइल में एक नया रिकॉर्ड जोड़ा जा सकता है। यह उन फ़ाइलों में से एक है जिन्हें फोरेंसिक विश्लेषण चरण के दौरान जांचा जाना चाहिए क्योंकि इसमें हमलावर का डोमेन नाम या कमांड कंट्रोल सर्वर IP पता हो सकता है।
RDP प्रोटोकॉल एक प्रोटोकॉल है जो लक्ष्य सिस्टम से दूरस्थ कनेक्शन को सक्षम बनाता है। विश्लेषित सिस्टम में, RDP कनेक्शन वाले सिस्टम के बारे में जानकारी RDP कैश में सहेजी जाती है। यदि हमलावर ने RDP कनेक्शन बनाया है, तो हमलावर का IP पता जानकारी कैश में प्राप्त की जा सकती है। सिस्टम का विश्लेषण करते समय यह उन बिंदुओं में से एक है जिनकी जांच की जानी चाहिए।
Windows ऑपरेटिंग सिस्टम पर स्थापित एप्लिकेशन के अपने विशेष लॉग हो सकते हैं और ये लॉग वह स्रोत हैं जिनकी विश्लेषक द्वारा उस एप्लिकेशन के संबंध में जांच की जानी चाहिए।
DLP सॉफ़्टवेयर डेटा रिसाव को रोकने के लिए सिस्टम में स्थापित सुरक्षा सॉफ़्टवेयर है। यह सॉफ़्टवेयर अपने द्वारा किए गए लेन-देन पर लॉग रख सकता है, और ये लॉग उन बिंदुओं में से एक हैं जिनकी विश्लेषक को उल्लंघनों का पता लगाने के लिए जांच करनी चाहिए।
एंडपॉइंट सुरक्षा समाधान सुरक्षा सॉफ़्टवेयर हैं जिनका उद्देश्य अंत-उपयोगकर्ता उपकरणों पर स्थापित सुरक्षा सुनिश्चित करना और डेटा उल्लंघनों को कम करना है। यह सॉफ़्टवेयर उल्लंघन की स्थिति में महत्वपूर्ण और व्यापक लॉग बना सकता है। यह समझने के लिए कि क्या उल्लंघन हुआ है और विवरण देखने के लिए, विश्लेषक को इन लॉग की जांच करनी चाहिए।
ईवेंट लॉग एक व्यापक संसाधन है जो Windows ऑपरेटिंग सिस्टम में शामिल सिस्टम के कई बिंदुओं से लॉग एकत्र करता है। इन लॉग में कई प्रकार के लॉग शामिल हैं। यह सबसे महत्वपूर्ण लॉग स्रोत है जिसकी सुरक्षा विश्लेषक को जांच करनी चाहिए।
फ़ाइल अखंडता निगरानी सॉफ़्टवेयर वह सुरक्षा सॉफ़्टवेयर है जो सिस्टम में फ़ाइलों के परिवर्तनों और पहुंचों का अनुसरण करता है। हमले के उल्लंघन की स्थिति में कौन सी फ़ाइलें बदली गई हैं, इसकी जानकारी प्राप्त करने के लिए, विश्लेषक को इन सॉफ़्टवेयर के लॉग की जांच करनी चाहिए।
हनीपॉट सिस्टम ट्रैप सिस्टम हैं जो हमलावर के लिए विशेष रूप से स्थापित वास्तविक सिस्टम की प्रतिलिपि हैं। चूंकि हनीपॉट सिस्टम पर हमले के तरीके एक हमले वेक्टर हो सकते हैं जिसका उपयोग हमलावर वास्तविक सिस्टम के खिलाफ कर सकता है, इन सिस्टमों के माध्यम से प्राप्त लॉग महत्वपूर्ण हमलों के खिलाफ उपाय करने में सक्षम बनाते हैं। इसलिए, इन लॉग में महत्वपूर्ण जानकारी हो सकती है।
MSSQL Microsoft का रिलेशनल डेटाबेस मैनेजमेंट सिस्टम है। इसका उपयोग अक्सर डेटाबेस के रूप में किया जाता है। MSSQL डेटाबेस में अनधिकृत पहुंच देखने या त्रुटि संदेश देखने के लिए MSSQL डेटाबेस के लॉग की समीक्षा करना महत्वपूर्ण है।
PowerShell एक अंतर-प्लेटफ़ॉर्म कार्य स्वचालन समाधान है जिसमें एक कमांड लाइन शेल, एक स्क्रिप्ट भाषा और एक कॉन्फ़िगरेशन प्रबंधन ढाँचा शामिल है। PowerShell Windows, Linux और macOS पर चलता है। यह अक्सर हमलावरों द्वारा पसंद किया जाता है क्योंकि powershell के साथ किए जाने पर हमले अधिक प्रभावी हो सकते हैं। सिस्टम में चलाए गए हानिकारक कमांड का पता लगाने और हमले को उजागर करने के लिए Powershell के लॉग की जांच की जानी चाहिए।
निर्धारित कार्यों का उपयोग विंडोज़ में निश्चित समय पर कुछ संचालन करने के लिए किया जाता है। सिस्टम में घुसपैठ करने वाला घुसपैठिया दृढ़ता सुनिश्चित करने के लिए इसका उपयोग कर सकता है। विश्लेषक सिस्टम को सुरक्षित करने और हमलों का पता लगाने के दौरान निर्धारित कार्यों के लॉग की जांच कर सकता है।
Windows Defender सबसे बुनियादी संरचना है जो Windows ऑपरेटिंग सिस्टम के साथ आने वाले सिस्टम को हमलावरों और मैलवेयर से बचाने के लिए जिम्मेदार है। Windows Defender के स्कैन या निष्कर्षों से संबंधित लॉग में कुछ महत्वपूर्ण विवरण हो सकते हैं। इसलिए, इस अनुभाग में लॉग की जांच करने से हमले के विवरण से संबंधित नई जानकारी मिल सकती है।
WMI (Windows Management Instrumentation) एक तकनीक है जो Windows ऑपरेटिंग सिस्टम में लगभग हर वस्तु को नियंत्रित करने में सक्षम बनाती है और ऑपरेटिंग सिस्टम में संचालन और प्रबंधन कार्य कर सकती है। सिस्टम पर WMI कमांड के साथ किए जा सकने वाले संचालन असंख्य हैं और यदि हमलावर ने सिस्टम में WMI कमांड चलाए हैं, तो WMI के लॉग की जांच और मूल्यांकन किया जाना चाहिए।
वह लॉग फ़ाइल जिसमें सफल या असफल लॉगिन और प्रमाणीकरण प्रक्रियाएं दर्ज की जाती हैं, auth लॉग कहलाती है। Auth लॉग फ़ाइल, जहां महत्वपूर्ण खातों के खिलाफ हमले के प्रयास देखे जा सकते हैं, Linux सिस्टम की जांच में एक महत्वपूर्ण स्थान रखती है।
यह वह फ़ाइल है जहां कर्नेल की चेतावनी, सूचना और त्रुटि रिकॉर्ड रखे जाते हैं। इसकी जांच आमतौर पर कर्नेल-संबंधित त्रुटि स्थितियों में की जाती है।
Linux सिस्टम में, लॉग स्रोत जो सिस्टम के बारे में सामान्य जानकारी और संदेश दिखाता है, syslog कहलाता है। यह Linux सिस्टम के अध्ययन में पहले बिंदुओं में से एक है।
