مبدايا وقبل اي حاجه

في الاول لازم احدد انهي Logs اللي تهمني من الاجهزه مينفعش احدد كل لوجات اللي بتحصل عندي لازم احدد الحاجات المهم زي Process Creation و Add user وغيره وافعل اللوجات دي ع كل الاجهزه كل دا من خلال Ad تحديدا من خلال GPO

مجرد ما احدد اللوجز اللي عايزها ابتدي احط Agent علي الاجهزه دي طب اي Agent دا السينسور او البرنامج التابع لSiem اللي هشتغل عليه يعني لو هتعامل مع Splunk فلازم اسطب علي كل الاجهزه اللي هتبعت الLogs هحط عليها Forwarder عشان يبعت اللوجات للSiem

مجرد ما اعمل كدا لازم من اليمه التانيه اسطب الsiem واستقبل الLogs واعمل ليها Enrichment يعني لو فيه IP تابع لSubnet والSubnet دي تخص الHR ف تقولي ان الIP دا تابع للHR او مثال تاني لو ف IP خارجي عامل عليا Attack ف يجيلي معاه الLocation بتاعه من انهي دوله والScore علي مواقع الThreat Intel

مجرد ما استقبل اللوجات وكل حاجه تبقي تمام هبتدي اعمل Rules عندي عشان احدد اي abnormal اللي بيحصل عندي ف الشركه زي … لو حد عمل Login Failure عشرين مره علي جهاز واحد يديني Alert او لو في User اتعمله Create علي السيستم ف لازم اعمل Validate واتاكد مين User وهل يخص Attacker ولا موظف واتعمله Create عادي

ف نا كدا شرحتلك الفكره العمليه والصح تمشي فيه ازاي