از هشدار اولیه تا تحلیل عمیق رخداد
مدرس: امیرمحمد ایرجی مقدم
تحلیلگر سطح دوم در نقطه‌ای قرار دارد که هشدار اولیه باید به یک بررسی منظم تبدیل شود. کدام میزبان‌ها و حساب‌ها مرتبط‌اند؟ چه شواهدی فوریت را توجیه می‌کند؟ چه زمانی پرونده باید به تیم پاسخ ارجاع شود؟ این دوره شیوه پاسخ‌دادن مستند به این پرسش‌ها را بررسی می‌کند.
مسیر آموزش از بازبینی Triage و غنی‌سازی آغاز می‌شود و به ارتباط‌دادن داده‌های Endpoint، شبکه و هویت می‌رسد. در سناریوهای آموزشی، تحلیلگر فرضیه‌ها را بررسی می‌کند، دامنه احتمالی را گسترش می‌دهد و میان شواهد واقعی، شکاف داده و برداشت اولیه تفاوت می‌گذارد. تصمیم برای مهار نیز با توجه به اختیار تیم، اثر عملیاتی و فرایند مصوب بررسی می‌شود.
هدف، آماده‌کردن پرونده‌ای است که هم برای تحلیلگر بعدی قابل ادامه باشد و هم برای مدیر امنیت تصویری روشن از اهمیت، دامنه و اقدام پیشنهادی بسازد.
دستاوردهای یادگیری
- غنی‌سازی و بازبینی اولویت هشدار
- تشکیل فرضیه و پرونده تحقیق چندمنبعی
- بررسی دامنه روی میزبان، هویت و شبکه
- ارائه پیشنهاد مهار متناسب با اختیار و ریسک
- تحویل پرونده و ثبت درس‌آموخته‌های شناسایی
پیش‌نیازهای دوره
- تجربه یا دانش معادل SOC Tier1 و تحلیل لاگ
- آشنایی با شبکه، سیستم‌عامل و فرایند پاسخ به رخداد
سرفصل‌های آموزشی
نقش Tier2
- مرز مسئولیت و معیار ارجاع
- کیفیت Triage و بازبینی اولویت
غنی‌سازی هشدار
- زمینه دارایی، هویت و آسیب‌پذیری
- اعتبارسنجی IOC و اطلاعات تکمیلی
تحلیل Endpoint
- روابط پردازش و شواهد فایل
- بررسی نشانه‌های ماندگاری و دسترسی
تحلیل هویت و شبکه
- رویدادهای ورود و فعالیت حساب
- همبستگی ارتباطات و حرکت بین میزبان‌ها
بررسی دامنه
- توسعه جست‌وجو از یک هشدار
- ساخت Timeline و تعیین نقاط نامشخص
پاسخ و هماهنگی
- پیشنهاد مهار و بررسی اثر عملیاتی
- مدیریت شواهد و همکاری با CSIRT
مدیریت پرونده
- ثبت فرضیه، شواهد و تصمیم
- خلاصه مدیریتی و تحویل شیفت
تمرین یکپارچه
- رسیدگی به سناریوی چندمرحله‌ای آزمایشگاهی
- بازبینی تحلیل و پیشنهاد بهبود پایش
تمرین پایانی
رسیدگی به مجموعه هشدارهای مرتبط در محیط آموزشی و تولید پرونده رخداد شامل Timeline، دامنه، شواهد، پیشنهاد اقدام و متن تحویل به تیم پاسخ.