آموزش SOC Tier2؛ تحلیل پیشرفته رخداد
مدرس: امیرمحمد ایرجی مقدم
SOC Tier2 برای تحلیلگری است که باید از یک هشدار اولیه فراتر برود و درباره صحت، دامنه و اهمیت رخداد تصمیم فنی بگیرد. در این دوره با تدریس امیرمحمد ایرجی مقدم، پرونده از مرحله Triage و Enrichment آغاز می‌شود و با همبستگی شواهد Endpoint، هویت، شبکه و سرویس‌ها به Incident قابل پیگیری تبدیل می‌شود.
مهارت اصلی، خواندن هشدار در زمینه داده است. Process Tree، Command Line، Hash، Signature، Logon Session، Source Host و ارتباط شبکه در کنار هم بررسی می‌شوند تا یک زنجیره اجرایی معنا پیدا کند. رویدادهای Windows Security، Sysmon و PowerShell در سناریوهای اجرای مشکوک، دسترسی حساس، Persistence و حرکت جانبی استفاده می‌شوند و لاگ DNS، Proxy و Firewall به تعیین ارتباطات بیرونی و داخلی کمک می‌کند.
در ادامه، Scope کردن رخداد، استخراج IOC و رفتار، تعیین اولویت بر اساس ارزش دارایی و اثر احتمالی، و ثبت Evidence Timeline تمرین می‌شود. انتخاب اقدام پاسخ باید با دامنه اختیار، خطر اختلال و نیاز به حفظ شواهد سازگار باشد. خروجی تحلیل به Case Note، Playbook، پیشنهاد Containment و درخواست بررسی تکمیلی برای CSIRT یا Tier3 تبدیل می‌شود. بخشی از مسیر نیز به Tuning هشدار، شناخت False Positive و تبدیل الگوهای تکرارشونده به شناسایی قابل نگهداری اختصاص دارد.
مهارت‌هایی که در این دوره دنبال می‌کنید
- تعیین صحت هشدار با چند منبع مستقل
- بازسازی Process Storyline و Timeline رخداد
- تحلیل Logon و فعالیت حساب بین چند میزبان
- Scope کردن Incident و شناسایی دارایی مرتبط
- پیشنهاد Containment با توجه به اثر عملیاتی
- تدوین Case Report، Playbook و پیشنهاد Tuning
پیش‌نیازهای فنی
- تجربه یا دانش عملی SOC Tier1، Triage و مفهوم SIEM
- شناخت Windows Event Log، Process و حساب‌های کاربری
- آشنایی با TCP/IP، DNS، HTTP و Active Directory
- توانایی جست‌وجو و فیلتر لاگ و خواندن Command Line
ابزارها و منابع فنی مسیر آموزش
- Windows Security، Sysmon و PowerShell Logging
- لاگ‌های DNS، Proxy، Firewall و Endpoint
- MITRE ATT&CK و نگاشت رفتار رخداد
- جست‌وجو، Correlation و مدیریت پرونده در SIEM/EDR
برنامه آموزشی و سرفصل‌های تخصصی
1. نقش Tier2؛ Triage، Escalation و مدیریت Case
- تفکیک Event، Alert و Incident
- ثبت فرضیه اولیه و سؤال‌های تحقیق
- تعیین Severity با توجه به دارایی و اثر
- مدیریت Evidence، Case Note و Hand-off
2. آمادگی لاگ؛ Parsing، Normalization و Timezone
- شناخت Timestamp و زمان دریافت رویداد
- مقایسه Hostname، Host ID، SID و User
- بررسی کمبود فیلد، تکرار و وقفه جمع‌آوری
- تعیین Confidence بر اساس کیفیت Telemetry
3. Endpoint Investigation و تحلیل Process Tree
- بررسی Parent، Child، Path، Hash و Signature
- تفسیر Command Line و Execution Context
- اتصال Process Creation به File و Network Event
- بازسازی Storyline در چند Pivot متوالی
4. تحلیل PowerShell، Script و LOLBin Alert
- بررسی رویدادهای 4688 و Sysmon Process Create
- تحلیل PowerShell 4104 و Script Content
- بررسی اجرای غیرمعمول Signed Binary
- مقایسه سناریو با فعالیت مدیریت سیستم
5. بررسی Credential Access و پردازش‌های حساس
- تحلیل هشدار دسترسی مشکوک به LSASS
- مقایسه Process Access و شواهد فایل Dump
- بررسی حساب، Token و سطح اجرای پردازش
- ارجاع به بررسی حافظه در صورت نیاز
6. Identity Investigation و لاگ‌های احراز هویت
- تحلیل 4624، 4625، 4648 و 4672
- بررسی Logon Type و Source Workstation
- همبستگی Kerberos 4768/4769 با نشست‌ها
- ارزیابی الگوی Failed Login و تغییر حساب
7. Persistence و تغییرات پرریسک میزبان
- بررسی رویداد Service Installation و Task Creation
- تحلیل Run Key، Startup و تغییر پیکربندی
- مقایسه Change Window و Software Deployment
- تعیین نیاز به جمع‌آوری Artifact تکمیلی
8. Lateral Movement و Scope چندمیزبانی
- Pivot از Account به Source و Destination Host
- بررسی Remote Service، SMB، RDP و WinRM
- تحلیل توالی ورود و اجرای Remote Process
- ساخت فهرست میزبان‌های نیازمند بررسی
9. Network Investigation؛ DNS، Proxy و Firewall
- اعتبارسنجی Alert با اتصال و جهت ترافیک
- بررسی دامنه نادر، مقصد تازه و ارتباط دوره‌ای
- همبستگی درخواست وب، دانلود و اجرای فایل
- تحلیل شواهد احتمالی انتقال داده
10. Email، Phishing و زنجیره ورود اولیه
- خواندن Header و مسیر انتقال پیام
- بررسی URL، Attachment و Hash در زمینه Case
- همبستگی تعامل کاربر و اجرای پردازش
- تعیین کاربران و میزبان‌های در معرض همان پیام
11. Containment، حفظ شواهد و هماهنگی با CSIRT
- ارزیابی ایزوله‌سازی میزبان و قطع نشست
- بررسی اثر تغییر رمز یا مسدودسازی حساب
- تعیین داده لازم پیش از اقدام مخرب بر شواهد
- ثبت دامنه اختیار، تأیید و معیار بازگشت سرویس
12. Detection Tuning، Playbook و بهبود عملیات
- تحلیل علت False Positive و Exclusion محدود
- تدوین مراحل Query، Pivot و تصمیم در Playbook
- تبدیل IOC کوتاه‌عمر به رفتار قابل شناسایی
- تعریف معیار کیفیت Case و بازخورد به Tier1
13. پرونده نهایی؛ از هشدار تا Incident Report
- تحلیل زنجیره دانلود، اجرا، دسترسی و حرکت جانبی
- تعیین Scope و سطح اطمینان هر میزبان
- ارائه Timeline و نگاشت ATT&CK
- تهیه گزارش فنی و خلاصه مدیریتی با اقدام پیشنهادی
سناریوی تمرین و خروجی فنی
چند هشدار مرتبط از Endpoint، احراز هویت و شبکه در قالب یک Case بررسی می‌شوند. خروجی باید شامل دلیل True/False Positive، Timeline، میزبان‌ها و حساب‌های مرتبط، پیشنهاد Containment با اثر عملیاتی، نقاط ابهام و مستند تحویل به CSIRT باشد.
شیوه ارائه و برنامه‌ریزی یادگیری
شیوه ارائه این دوره ضبط‌شده / آنلاین است. سرفصل‌ها و زمان‌بندی جلسات، برنامه آموزشی دوره را نشان می‌دهند؛ دسترسی به محتوای جلسات پس از فعال‌شدن ثبت‌نام ارائه می‌شود.