Windows Event Logs لمحلل مركز العمليات الأمنية (SOC): من أين تبدأ

هيكل الحدث في Windows

الحقول المهمة ليست بالضرورة تلك التي تظهر في أعلى الشاشة. في Windows Event Logs لمحلل مركز العمليات الأمنية (SOC)، يجب تحديد معرفات ثابتة، الوقت، المصدر، الوجهة، النتيجة والسياق. الأمثلة المفيدة هي Event ID و Provider، Computer، User و Logon ID، Process، Parent و Command Line، Source IP، Workstation و Logon Type، Group/Privilege changes، Sysmon ProcessGuid أو SessionGuid. الهدف هو تمكين Correlation بين السجلات وليس مجرد قراءة Event فردي.

يوصى بإنشاء Data dictionary صغير: اسم الحقل، المعنى، التنسيق، المصدر، قيم Null المتوقعة وما إذا كان موثوقًا به للربط. وبهذه الطريقة يمكن التمييز بين حقل العرض ومعرف التحقيق، وتحديد متى قام Connector أو إصدار بتغيير Schema.

Security, System, PowerShell و Sysmon

موضوع 'Security, System, PowerShell و Sysmon' هو جزء أساسي من العمل على Windows Event Logs لمحلل مركز العمليات الأمنية (SOC). يوصى بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل، ما هو القرار الذي يراد اتخاذه، وما هو الدليل الكافي لتبريره. تمنع هذه الأسئلة الاستخدام التلقائي للأداة دون فهم الهدف.

في التدريب، سجل Event ID و Provider، Computer، User و Logon ID، Process، Parent و Command Line، Source IP، Workstation و Logon Type، Group/Privilege changes، قارن بالسلوك المتوقع وحدد Pivot واحدًا على الأقل. يجب أن تكون النتيجة قابلة للاختبار من قبل محلل آخر، بما في ذلك القيود وخطوات المتابعة.

حقول يجب قراءتها

الحقول المهمة ليست بالضرورة تلك التي تظهر في أعلى الشاشة. في Windows Event Logs لمحلل مركز العمليات الأمنية (SOC)، يجب تحديد معرفات ثابتة، الوقت، المصدر، الوجهة، النتيجة والسياق. الأمثلة المفيدة هي Event ID و Provider، Computer، User و Logon ID، Process، Parent و Command Line، Source IP، Workstation و Logon Type، Group/Privilege changes، Sysmon ProcessGuid أو SessionGuid. الهدف هو تمكين Correlation بين السجلات وليس مجرد قراءة Event فردي.

يوصى بإنشاء Data dictionary صغير: اسم الحقل، المعنى، التنسيق، المصدر، قيم Null المتوقعة وما إذا كان موثوقًا به للربط. وبهذه الطريقة يمكن التمييز بين حقل العرض ومعرف التحقيق، وتحديد متى قام Connector أو إصدار بتغيير Schema.

Event IDs مركزية

موضوع 'Event IDs مركزية' هو جزء أساسي من العمل على Windows Event Logs لمحلل مركز العمليات الأمنية (SOC). يوصى بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل، ما هو القرار الذي يراد اتخاذه، وما هو الدليل الكافي لتبريره. تمنع هذه الأسئلة الاستخدام التلقائي للأداة دون فهم الهدف.

في التدريب، سجل Event ID و Provider، Computer، User و Logon ID، Process، Parent و Command Line، Source IP، Workstation و Logon Type، Group/Privilege changes، قارن بالسلوك المتوقع وحدد Pivot واحدًا على الأقل. يجب أن تكون النتيجة قابلة للاختبار من قبل محلل آخر، بما في ذلك القيود وخطوات المتابعة.

الجمع إلى SIEM والحفاظ على السياق

في هذه المرحلة يتم تحديد الأدلة المطلوبة للإجابة على سؤال التحقيق. بالنسبة لـ Windows Event Logs لمحلل مركز العمليات الأمنية (SOC)، النقاط الأساسية هي Event ID و Provider، Computer، User و Logon ID، Process، Parent و Command Line، Source IP، Workstation و Logon Type. لكل مصدر يتم توثيق المالك، نطاق الاحتفاظ، المنطقة الزمنية، تأخير الاستقبال، والحقول التي قد تكون مفقودة.

لا تقاس جودة الجمع بوصول السجل 'فقط'. يجب التحقق من Completeness، Latency، Parsing، Duplicate events ومزامنة الوقت. يتيح اختبار Canary أو حدث مختبري معروف التأكد من ظهور الإجراء في المصدر، ومروره عبر الـ Pipeline، وقابليته للبحث في الحقول الصحيحة.

نقاط فحص فريدة

في هذا الموضوع، يوصى ببناء خريطة أدلة مركزة مسبقًا. نقاط الفحص الرئيسية هي: Event ID و Provider، Computer، User و Logon ID، Process، Parent و Command Line، Source IP، Workstation و Logon Type، Group/Privilege changes، Sysmon ProcessGuid أو SessionGuid. القائمة ليست Checklist تلقائيًا؛ يتم اختيار كل عنصر لأنه يمكن أن يربط بين كيان وعملية ووقت أو يشرح سلوكًا مشروعًا.

• Event ID و Provider: حدد القيمة المتوقعة، وما سيعتبر استثناءً، وأي مصدر إضافي سيؤكد النتيجة.
• Computer, User و Logon ID: حدد القيمة المتوقعة، وما سيعتبر استثناءً، وأي مصدر إضافي سيؤكد النتيجة.
• Process, Parent و Command Line: حدد القيمة المتوقعة، وما سيعتبر استثناءً، وأي مصدر إضافي سيؤكد النتيجة.
• Source IP, Workstation و Logon Type: حدد القيمة المتوقعة، وما سيعتبر استثناءً، وأي مصدر إضافي سيؤكد النتيجة.
• Group/Privilege changes: حدد القيمة المتوقعة، وما سيعتبر استثناءً، وأي مصدر إضافي سيؤكد النتيجة.
• Sysmon ProcessGuid أو SessionGuid: حدد القيمة المتوقعة، وما سيعتبر استثناءً، وأي مصدر إضافي سيؤكد النتيجة.

عندما لا يكون أحد المحاور متاحًا، يجب توثيق الفجوة واختيار بديل. على سبيل المثال، إذا لم يكن Process identifier ثابتًا، يمكن الاستعانة بالوقت، المضيف، المستخدم والوالد؛ إذا كانت Payload مشفرة، يتم استخدام Metadata، الحجم، التردد وسياق TLS/DNS.

عملية عمل موصى بها

1. حدد Scope وسؤال عمل واحد بخصوص Windows Event Logs لمحلل مركز العمليات الأمنية (SOC).
2. سجل مصادر البيانات والأدلة المطلوبة: Event ID و Provider، Computer، User و Logon ID، Process، Parent و Command Line، Source IP، Workstation و Logon Type.
3. أنشئ Baseline قصيرًا للسلوك الطبيعي أو النتيجة المتوقعة.
4. قم بإجراء الاختبار الأدنى في بيئة مختبرية واحفظ الوقت والمدخلات والمخرجات.
5. أنشئ Timeline أو جدول مقارنة وافصل بين الحقيقة والتفسير.
6. قم بإجراء Pivot إلى مصدر إضافي لتأكيد أو دحض التفسير الأولي.
7. لخص القرار، القيود، الإجراء الموصى به، ومعيار Retest.

سيناريو عملي

السيناريو المختار هو خريطة مصادر السجلات لمختبر Windows صغير. الهدف من التمرين ليس إثبات القدرة على الهجوم، بل التدرب على الجمع والمقارنة والتوثيق بطريقة آمنة. قبل بدء العمل، يتم تحديد بيانات وهمية، نافذة زمنية، ونتيجة متوقعة.

في نهاية التمرين، يجب تقديم منتج يمكن لمحلل أو فاحص آخر مراجعته: لقطة شاشة أو Export للدليل، Timeline قصير، افتراض أولي، دليل مؤكد، قيود، وتوصية. عندما لا يكون هناك دليل كافٍ، فإن الاستنتاج الصحيح هو أن السيناريو لم يثبت.

قائمة تحقق عملية

• ✓تحقق ووثق: Event ID و Provider.
• ✓تحقق ووثق: Computer, User و Logon ID.
• ✓تحقق ووثق: Process, Parent و Command Line.
• ✓تحقق ووثق: Source IP, Workstation و Logon Type.
• ✓تحقق ووثق: Group/Privilege changes.
• ✓تحقق ووثق: Sysmon ProcessGuid أو SessionGuid.
• ✓اذكر Time zone، إصدار الأداة ووقت التجميع.
• ✓احفظ البيانات الخام قبل التصفية أو التغيير.
• ✓اكتب ما تثبته النتيجة وما لا يزال غير معروف.
• ✓حدد المالك وإجراء المتابعة مع الموعد النهائي.

أخطاء شائعة

• الاعتماد على Event ID بدون حقول.
• الخلط بين Logon ومصدر الهجوم.
• تجاهل Logon Type.
• ربط العمليات حسب PID فقط.
• افتراض أن كل PowerShell ضار.
• إغلاق حدث دون فحص Domain Controller.

ملخص و CTA

Windows Event Logs لمحلل مركز العمليات الأمنية (SOC): من أين تبدأ هو موضوع يربط المعرفة التقنية بالانضباط في العمل. ابدأ بسؤال، اجمع فقط الأدلة ذات الصلة، حافظ على السياق والوقت، واختر إجراءً يمكن تبريره وإعادة اختباره.

في مسار Cybersecurity & AI من HPI، يتم التدرب على هذه المبادئ باستخدام الأنظمة والسجلات والمختبرات. الانتقال الطبيعي هو الانتقال إلى المقالات المرتبطة، وإجراء تمرين المختبر، وحفظ الناتج كجزء من محفظة عمل مهنية.

الأسئلة الشائعة