Shift Rotation On SOC

و أنا بعيد ترتيب البوست الخاص بالـ SOC لقيت سؤال مهم جدا كان عن Shift Rotation On SOC

فحبيت أوضح بيكون ماشى ازاى

Shift 1 

From 7 AM  At 5 PM

TIER1

TIER2

TIER3

Shift 2 

From 3 PM  At 1 AM

TIER1

TIER2

Shift 3 

From 11 PM  At 9 AM

TIER1

SOC Process

 SOC Process

هو الـ Standard الى هنشتغل عليه فى الـ SOC على سبيل المثال لو فى Incident حصل مينفعش كل حد فى الـ SOC يشتغل بطريقة لازم يكون فى Standard معين الـ SOC شغال بى الـ Process دى فى بعض الاحيان بيبقى أسمها PlayBook 

بعض منصات وأدوات الـ Threat Intelligence

 بعض منصات وأدوات الـ Threat Intelligence

AlienVault OTX

IBM X-Force Exchange

Palo Alto Networks AutoFocus

LogRhythm Threat Lifecycle Management (TLM) Platform

Maltego

Shodan

Incident Handling Plan

 Incident Handling 

الـ Plan  بتستخدمها فى عملية الـ Incident Handling   بتبقى عبارة عن 3 مراحل وهى :

• Perspiration

• Discovery 

• Detection & Analysis 

• Post Incident & Activity

Cyber Security Operations Center

سؤال ما هو CSOC

هو هو الـ Soc  بس فى بعض المنظمات بتسمية Cyber Security Operations Center و هو بيضم

فريق الاستجابة لحوادث أمن الكمبيوتر (CSIRT) أو مركز الاستجابة لحوادث الكمبيوتر (CIRC) ، ، أو فريق استجابة طوارئ الكمبيوتر (CERT) و هذا يعنى أن CSOC يعمل على الدفاع ضد الأنشطة غير المصرح بها على الشبكات الإستراتيجية وهذا يشمل المراقبة والكشف والتحليل وكذلك أنشطة الاستجابة والاستعادة و قد يتكون من فريق يتألف بشكل أساسي من محللي أمن الشبكات المنظمين لاكتشاف ، وتحليل ، والرد على ، والإبلاغ ، ومنع حوادث أمن الشبكة على مدار اليوم و يوجد عدة أنواع من الـ CSOC و هى كالاتى

Virtual CSOC

Distributed CSOC

Dedicated CSOC

Command CSOC

 

 

Depth of defense & Cyber Attack Chain

 

 

فى الـ Depth of defenseالى اتكلمنا عة فى البوست دا

https://cutt.ly/JrGNI8y

هنلاقى ان هيا Strategic Number One فى أى Organization ودى الى بيساعدك على تتبع اى Cyber Attack Chain الى أكلمنا عنها فى البوست الى فات

و دا طبعا فى ظل وجود الـ Firewall ممكن نراجع البوست دا

https://cutt.ly/ymNmWWo

مع وجود أيضا الـ SIEM

https://cutt.ly/DrGNJHS

أيه هو الـ Cyber-Attack Chain

جالى سؤال و حبيت أشركة معاكم و ان عبارة عن

أيه هو الـ Cyber-Attack Chain

بأختصار هو الخطوات الى بيتبعها الـ APT فى الـ Attack الى بيعملة و أغلبيا بتتمثل فى الاتى

Threat Intelligence

تعريف الـ Threat Intelligence

هو تجميع بيانات من اماكن مختلفة زى مثلا الـ Social Media / Vendor …. عشان اقدر استفاد من الداتا دى و بيتم المعامل معاها كجزئين جزء خاص بالـ Data و دى بتبقى ال IP-Domain-Url … أما الـ Threat بتبقى زى APT-Hack visit - Cybercrimes الداتا الى بيتم تجميعها بيتم عمل عليها Analysis عشان تطلع Intelligence و بتنقسم الـ Intelligence لى 3 نطاقات مختلفة و هى كالاتى Tactical & Operational & Strategic الى بيتم عمل عليها Categories عشان تقدر تاخد الـ Action حسب الـ Areas فى الـ Area Strategic ديما بيسال على الاتى Who & Why & Where و دا بيكون عن طريق CIO أما فى الـ Operational Area بيكون فى العموم سؤالة How و دا عن طريق Threat Hunter أما فى Tactical Area بيكون سؤالة عن What & When و دا عن طريق SOC Analyst

SOC Technology

 

المرة الى فاتت أكلمنا عن أن الـ SOC عبارة عن مثلث لية 3 أضلاع مهمين جدا و أتكلمنا عن  ال   People النهاردة هنشوف ال Technology 

 

 

Security Operation Center Delivery Manager

لما نركز شوية هنلاقى ان الـ SOC لية 3 أضلاع مينفعش يبقى فيهم أى خلل وهما كالاتى:

People

Operation

Technology

تعالوا اوريكم الـ People  بيتمثل فى أية

 

SOC Part 4 "SOC major responsibilities are"

 

SOC major responsibilities are

• · Monitor, Analyze, Correlate & Escalate Intrusion Event
• · Develop Appropriate Responses, Protect, Detect, Respond
• · Conduct Incident Management and Forensic Investigation
• · Maintain Security Community Relationships
• · Assist in Crisis Operation

SOC Part 3 "SOC are Designed To"

 

SOC are Designed To

·         Protect mission critical data and assets
·         Prepare for and respond to cyber emergencies
·         Help provide countintinty and efficient recovery

Splunk SIEM Part 2

 أثناء مذاكرة الـ Splunk Fundamentals كان فى كذا معلومة حبيت أوضحها للناس المهتمة بالـ Soc 

أية Type Of Data الى بيتعامل معاها 

1. Computers 
2. Network Devices
3. Virtual Machines
4. Internet Devices
5. Communication Devices
6. Sensors
7. DataBases
8. Logs
9. Configurations
10. Messages
11. Call Detail Records 
12. Clickstream
13. Alerts
14. Metrics 
15. Scripts 
16. Change 
17. Tickets

و لما نيجى نبص على Deploy هنلاقى

1. Splunk Enterprise 
2. Splunk Cloud 
3. Splunk Light

و فى ال Solutions

• Splunk IT Services Intelligence 
• Splunk Enterprise Security 
• Splunk User Behavior Analytics

نيجى نبص Splunk Components 

• Indexer 
• Search Head
• Forwarder

IBM QRadar SIEM Part1

QRadar Capabilities

· Log Activity

· Network Activity

· Assets

· Offences

· Report

· Data Collection

QRadar Architect :

1. QRadar Console

2. QRadar Event Collector

3. QRadar Event Processor

4. QRadar QFlow Collector

5. QRadar Flow Processor

6. QRadar Data Node

7. QRadar App Host