Головна › SOC‑симулятор
SOC‑симулятор: тренуйся, як у команді безпеки
У SOC‑Simulator на твоєму екрані з’являється тривога, і ти маєш вирішити, що робити далі. Ця сторінка простими словами пояснює, що таке SOC, як проходить випадок і що при цьому вимірюють. І показує, де поруч із тобою твій викладач.
Спробуй · триває хвилину
Прийшла тривога. Що ти робиш?
Ось як виглядає ця робота: повідомлення потрапляє в чергу, і ти вирішуєш, чи стоїть за ним справжня атака, чи хибна тривога. Саме це ти відпрацьовуєш у SOC‑Simulator – там зі справжніми інструментами, тут для перегляду.
- Користувач
- [email protected]
- Час
- 03:14, за берлінським часом
- IP-адреса джерела
- 41.203.88.17 — Нігерія
- Результат
- Вхід успішний, з першої спроби
- Пристрій
- ніколи раніше не бачили в цьому обліковому записі
- Потім
- Створено 14 правил у поштовій скриньці, усі пересилають далі
З документації компанії: Nordwerk GmbH, машинобудування. Підрозділи лише в Німеччині та Польщі. Виїзні працівники їздять у межах Європи. Поїздки до Африки не передбачені.
Твій висновок у Case Report:
Правильно — True Positive
Трохи мимо — це True Positive
Вирішальні тут три речі разом: вхід о 3 годині ночі з країни, де компанія не працює; пристрій, якого в цьому обліковому записі ніколи раніше не бачили; і одразу після цього 14 правил пересилання в поштовій скриньці. Кожне окремо можна було б пояснити. Разом це захоплення облікового запису — а правила роблять так, щоб зловмисник і далі читав пошту.
Хід думок правильний: багато з того, що виглядає незвично, насправді безпечне. Але тут сходяться три дивні речі — третя година ночі, країна без зв’язку з компанією, пристрій, якого тут раніше не бачили. А потім одразу 14 правил пересилання. Це не випадковість, це захоплення облікового запису.
Потім у симуляторі ти пишеш Case Report і вирішуєш, чи передавати справу вище. Серед іншого вимірюють і те, скільки часу тобі потрібно до розв’язання — цей показник називається MTTR, Mean Time to Resolve.
Справжній симулятор працює у браузері, із вбудованим SIEM і Analyst-VM. Частина сценаріїв доступна й без оплати, у спрощеній версії — тож ти можеш зазирнути туди заздалегідь. TryHackMe — самостійна компанія; симулятор не належить нам, ми навчаємо з його допомогою. До SOC‑симулятора на TryHackMe →
Як тут тренуються
Роботу команди безпеки тут виконують, а не описують
Багато курсів підвищення кваліфікації з Bildungsgutschein (ваучер на навчання) навчають за слайдами, з вправами і підсумковим іспитом. У нас ти з 24-го тижня сім тижнів працюєш у SOC‑симуляторі від TryHackMe, зі справжніми інструментами і справжніми тривогами. Чи роблять так само інші заклади, ми за весь ринок сказати не можемо.
Навчання зі слайдами
- Слайди і вправи
- Одна сертифікація наприкінці
- Роботу команди безпеки описують
Так навчаємо ми
- Сім тижнів змін у симуляторі, з 24-го тижня
- Три сертифікації на цьому шляху: SEC0, SEC1, SAL1
- Роботу команди безпеки виконують – зі справжніми інструментами, справжніми тривогами і показником, який вимірює твій темп
Чи працює так само якийсь інший курс, ми судити не можемо. У Німеччині є кілька сотень допущених закладів, і ми бачили не всі навчальні плани.
Що довкола цього
Зміна в команді безпеки, з 8 до 16 години
Тривога, що була щойно, — одна з багатьох. Ось як виглядає день, до якого вона належить, – і саме цей день ти відпрацьовуєш у симуляторі, тиждень за тижнем.
Передача від нічної зміни
Що залишилося відкритим, що передали вище, на що сьогодні треба звернути увагу.
Перша тривога потрапляє в чергу
Саме та, що вгорі. Ти береш її собі – з цієї миті пішов час.
Це був твій тестПеревірити, що сталося насправді
У SIEM — журнали облікового запису. В Analyst VM перевірити IP-адресу. У Documentation подивитися, де компанія взагалі має офіси.
Playbook каже, що робити тепер
Для кожного виду тривоги є усталений порядок дій – як у справжніх командах безпеки. Ти дотримуєшся його, замість того щоб гадати.
Case Report і передача вище
True Positive. Ти записуєш, що вдалося знайти, і передаєш справу на наступний рівень. Час до цього моменту: 30 хвилин.
MTTR 00:30Наступна тривога. І та, що за нею.
Одні закриваються за дві хвилини, інші забирають годину. Більшість — хибні тривоги, і розпізнати їх – це і є справжнє мистецтво.
З чим ти працюєш
Шість розділів, як у справжній команді безпеки
Це не назви, які ми вигадали, – так називаються розділи в симуляторі, і приблизно так само їх називають у професії.
Огляд
Скільки тривог відкрито, що є терміновим, як команда виглядає в порівнянні.
Черга
Сюди надходять повідомлення. Ти береш одне — і з цієї миті відповідаєш за нього.
Журнали
Пошукова система за всіма подіями. Хто і коли увійшов, який комп’ютер і куди передавав дані.
Власний комп’ютер
Ізольоване робоче місце з інструментами – серед іншого, щоб перевіряти адреси і файли й нічого при цьому не підхопити.
Досьє компанії
Чим займається ця компанія, де вона має офіси, яке програмне забезпечення тут звичне. Без цього тривогу оцінити неможливо.
Усталений порядок дій
Для кожного виду тривоги — заданий шлях. Так працюють справжні команди безпеки – щоб у критичній ситуації ніхто не імпровізував.
Дві хвилини. І ти знатимеш, яке правило діє для тебе.
Коротка перевірка можливості фінансування — без реєстрації та зобов’язань.