🛡️ SIEM + 威胁检测实验室

一个端到端的蓝队实验室：一个Wazuh 4.7.5 SIEM检测7种模拟攻击——从端口扫描和SSH暴力破解到真实的CVE漏洞利用（Slowloris DoS）——每个事件都被记录、告警并实时映射到MITRE ATT&CK。从零开始在两台虚拟机上构建。

📄 完整报告： 所有12页（含截图）在本页面底部内联渲染，或下载PDF。

---

🧱 实验室架构

在VMware Workstation 17 Player的隔离网络中虚拟化。

---

⚔️ 模拟并检测到的攻击

---

📊 检测结果

🎯 MITRE ATT&CK覆盖

---

🔧 关键发现与建议修复

• CVE-2007-6750 (Slowloris) — Apache因保持911个连接被击垮 → 启用mod_reqtimeout。
• SSH暴力破解/暴露 — 部署fail2ban，禁用root登录（PermitRootLogin no），并将SSH移出默认端口22。

---

💡 经验教训

• 搭建真正的SIEM并非易事：证书处理、操作系统兼容性（Ubuntu 26.04 vs Wazuh 4.7.5）以及凭据管理都需要真正的故障排查。
• 攻击会留下清晰的痕迹——即使没有Level-12关键告警，暴力破解、DoS和凭据访问也可以通过告警模式和演变图识别。

---

为教育目的在隔离的实验室环境中构建。Sarjan Patel网络安全作品集的一部分。

---

📄 完整报告

完整的12页报告，内联渲染（也可作为可下载的PDF提供）：