Τεχνικός οδηγός OpenSOC

Ενοποιεί την καθημερινή λειτουργία παρακολούθησης και απόκρισης.

Δεδομένα

Normalized events, alerts, asset context, severity και risk scores.

Αρχική ρύθμιση

Επιβεβαιώστε tenant, monitoring scope, contacts, Core module, connector και telemetry. Ολοκληρώστε το onboarding 5/5.

Καθημερινή λειτουργία

Ελέγχετε dashboard και high/critical queue, τεκμηριώνετε triage και προωθείτε επιβεβαιωμένες απειλές σε incident.

Κριτήριο readiness

Active onboarding, healthy connector και πραγματική tenant telemetry.

Παρακολουθεί endpoints και servers για ύποπτη δραστηριότητα.

Δεδομένα

Wazuh agents, agent IDs, hostname/IP, process/authentication/system events.

Αρχική ρύθμιση

Εγκαταστήστε agent ανά endpoint, αντιστοιχίστε τον σωστό tenant και επιβεβαιώστε check-in και event ingestion.

Καθημερινή λειτουργία

Εντοπίζετε silent agents, ασυνήθιστη δραστηριότητα και alerts ανά asset.

Κριτήριο readiness

Τουλάχιστον ένα ενεργό asset και πρόσφατη telemetry.

Μετατρέπει Wazuh vulnerability inventory σε ελεγχόμενο remediation workflow.

Δεδομένα

CVE, package/version, CVSS, severity, asset και detection timestamps.

Αρχική ρύθμιση

Ενεργοποιήστε vulnerability detection στον Wazuh και εκτελέστε αρχικό sync.

Καθημερινή λειτουργία

Φιλτράρετε critical/high, ορίζετε in progress, resolved, false positive ή risk accepted και καταγράφετε notes.

Κριτήριο readiness

Επιτυχές vulnerability sync και ενημερωμένο inventory.

Ανιχνεύει δημιουργία, αλλαγή ή διαγραφή κρίσιμων αρχείων και registry keys.

Δεδομένα

Wazuh syscheck/FIM events, path, action, changed attributes και agent.

Αρχική ρύθμιση

Ορίστε κρίσιμα paths/registry keys στην Wazuh policy και επιβεβαιώστε ότι φτάνουν FIM events.

Καθημερινή λειτουργία

Ελέγχετε αλλαγές εκτός change window και συσχετίζετε tampering με alerts/incidents.

Κριτήριο readiness

FIM policy και πραγματικά file/registry events.

Συνδέει τεχνικούς ελέγχους με remediation και NIS2 operational evidence.

Δεδομένα

Wazuh SCA policies/checks, assets, connectors, incidents, audit και onboarding evidence.

Αρχική ρύθμιση

Ενεργοποιήστε κατάλληλες SCA policies και συμφωνήστε governance/evidence ownership.

Καθημερινή λειτουργία

Διορθώνετε failed checks, παρακολουθείτε NIS2 gaps και κρατάτε αποδεικτικά ενεργειών.

Κριτήριο readiness

Πρόσφατο SCA posture και πραγματικά evidence signals.

Αναλύει authentication και account activity σε Windows/AD περιβάλλον.

Δεδομένα

Windows Event IDs, user/domain, source IP, process, agent και rule level.

Αρχική ρύθμιση

Συλλέξτε Security logs από DCs και κρίσιμα Windows endpoints μέσω Wazuh.

Καθημερινή λειτουργία

Ερευνάτε failed logins, privileged changes, account creation/deletion και ασυνήθιστες πηγές.

Κριτήριο readiness

Windows authentication/account-change telemetry.

Παρέχει ενιαία εικόνα firewall, IDS/IPS, VPN και DNS δραστηριότητας.

Δεδομένα

Syslog/API events, source/destination, ports, protocol, action και device identity.

Αρχική ρύθμιση

Χρησιμοποιήστε allowlist ή VPN προς τον collector, σωστό transport και TLS όπου υποστηρίζεται.

Καθημερινή λειτουργία

Ελέγχετε denied traffic, IDS signatures, VPN anomalies και DNS indicators.

Κριτήριο readiness

Configured collector και πρόσφατα network events.

Εκτελεί προληπτικές υποθέσεις αναζήτησης πέρα από τα υπάρχοντα alerts.

Δεδομένα

Authentication, persistence, tampering, critical events και χρονικό παράθυρο.

Αρχική ρύθμιση

Βεβαιωθείτε ότι οι απαιτούμενες πηγές telemetry έχουν επαρκές lookback.

Καθημερινή λειτουργία

Τρέχετε hunts ανά 1/7/30/90 ημέρες, αξιολογείτε matches και ανοίγετε incident όταν υπάρχει πραγματικό εύρημα.

Κριτήριο readiness

Telemetry coverage για τις hunting κατηγορίες.

Αντιστοιχίζει γνωστούς δείκτες απειλής με τα δεδομένα του tenant.

Δεδομένα

IP, domain, URL, SHA-256, MD5 ή email μαζί με source, confidence, severity και description.

Αρχική ρύθμιση

Συνδέστε MISP/OpenCTI/feed API ή εισάγετε επιβεβαιωμένα IOCs. Ορίστε owner, refresh και expiration policy.

Καθημερινή λειτουργία

Ελέγχετε matches, απενεργοποιείτε ληγμένους/λανθασμένους indicators και προωθείτε validated hits σε incident.

Κριτήριο readiness

Τουλάχιστον μία αξιόπιστη ενεργή πηγή ή πραγματικός IOC.

Διαχειρίζεται ένα περιστατικό από triage μέχρι τεκμηριωμένο closure.

Δεδομένα

Linked alerts/events, owner/team, status, notes, tasks, evidence και resolution.

Αρχική ρύθμιση

Ορίστε roles, escalation contacts, severity/SLA διαδικασία και evidence policy.

Καθημερινή λειτουργία

Assign, investigate, contain, eradicate, resolve και close. Προσθέστε notes/tasks, ανεβάστε validated evidence και εξάγετε timeline.

Κριτήριο readiness

Ενεργό workflow, εξουσιοδοτημένοι responders και συμφωνημένη διαδικασία κλιμάκωσης.

Παράγει επαναλήψιμη εικόνα κινδύνου και λογοδοσίας.

Δεδομένα

Live assets, vulnerabilities, alerts, incidents, service posture και append-only audit.

Αρχική ρύθμιση

Επιβεβαιώστε κοινό reporting period, recipients και retention requirements.

Καθημερινή λειτουργία

Εξάγετε περιοδικές αναφορές, αναλύετε trends και χρησιμοποιείτε audit για έλεγχο αλλαγών.

Κριτήριο readiness

Πραγματικά tenant δεδομένα και συμφωνημένος reporting κύκλος.

Παραδίδει retryable επιχειρησιακές ειδοποιήσεις από τον worker.

Δεδομένα

Microsoft Graph OAuth ή Telegram credentials, recipient/chat ID και notification jobs.

Αρχική ρύθμιση

Graph: tenant ID, client ID, κρυπτογραφημένο client secret, sender mailbox και Exchange Application Mail.Send scope. Telegram: bot token και chat ID. Αποθηκεύστε και εκτελέστε guarded test.

Καθημερινή λειτουργία

Παρακολουθείτε completed/failed jobs, διορθώνετε transport errors και επαναλαμβάνετε μόνο ασφαλείς εργασίες.

Κριτήριο readiness

Επιτυχές test delivery και enabled configuration.