Мини-курсСредний410 мин4 модуля · 18 карт · 18 шагов

SIEM на практике

Name: SIEM на практике
Price: 3990 RUB
Availability: InStock

Ориентировочно в другой валюте:$44

Оплата картой откроется в ближайшее время

Доступ открывается сразу после подтверждения оплаты и не сгорает. Услуга оказывается дистанционно, на платформе. Указана итоговая стоимость, НДС не облагается. Условия — в публичной оферте и правилах возврата.

О курсе

Построй свой SOC с нуля! Splunk, ELK Stack, Sigma Rules — от первого лога до автоматизированного реагирования на инциденты. Курс, который превращает новичка в востребованного SOC-аналитика с практическими навыками!

Чему ты научишься

развернуть SIEM-лабораторию на Splunk и ELK Stack
писать SPL-запросы для поиска и анализа событий безопасности
настраивать Logstash для сбора и нормализации логов
создавать дашборды и визуализации в Splunk и Kibana
писать кастомные Sigma-правила для детекции атак
конвертировать Sigma-правила в SPL и KQL
настраивать алерты и базовую SOAR-автоматизацию

Что нужно знать

Программа

Введение в SIEM

4 карт · 4 шагов

Зачем нужен SIEM и как он работает — архитектура, источники логов и развёртывание собственной лаборатории для обучения

1.
Что такое SIEM и зачем он нуженSIEM — это центральная нервная система SOC: собирает логи со всей инфраструктуры, нормализует, коррелирует события и выдаёт алерты. Без SIEM среднее время обнаружения атаки — 287 дней, с SIEM — 108.1 шагов
2.
Архитектура SIEM: сбор, нормализация, корреляцияПод капотом SIEM — конвейер из пяти этапов: сбор → парсинг → нормализация → индексация → корреляция. Понимание архитектуры позволяет оптимизировать производительность и писать точные правила детекции.1 шагов
3.
Источники логов: endpoints, сеть, приложенияSIEM работает ровно настолько хорошо, насколько качественны его источники. Windows Event Log, Sysmon, syslog, firewall, proxy, DNS, cloud — каждый источник покрывает свой сегмент Kill Chain. Без правильного набора источников SIEM слеп.1 шагов
4.
Развёртывание SIEM-лабораторииПоднимаем полноценную SIEM-лабораторию: Splunk Free + ELK Stack в Docker, генерируем тестовые логи, подключаем Windows и Linux источники. Всё на одной машине с 16GB RAM.1 шагов

Splunk на практике

5 карт · 5 шагов

Splunk — король коммерческих SIEM. Освой SPL от базовых запросов до продвинутой аналитики, дашбордов и настройки алертов

1.
Установка и настройка SplunkSplunk — индустриальный стандарт SIEM. Разбираем архитектуру (Indexer, Search Head, Forwarder), настраиваем inputs, индексы, роли пользователей и apps. После этого урока Splunk готов принимать продакшн-данные.1 шагов
2.
SPL: базовые запросы и фильтрацияSPL (Search Processing Language) — язык запросов Splunk. Базовые команды: search, where, table, fields, dedup, sort, rename. Освоив фильтрацию, ты сможешь находить любое событие среди миллионов за секунды.1 шагов
3.
SPL: статистика, группировка и визуализацияПродвинутый SPL: stats, chart, timechart, eventstats, streamstats, transaction. Эти команды превращают сырые логи в аналитику — тренды, аномалии, baseline. Основа для дашбордов и алертов.1 шагов
4.
Создание дашбордов и отчётовДашборды Splunk — главный инструмент визуализации SOC. Создаём панели из SPL-запросов, настраиваем layout, drill-down, токены и inputs. Результат — полноценный SOC Operations Dashboard с real-time мониторингом угроз.

ELK Stack

5 карт · 5 шагов

Бесплатная альтернатива Splunk — Elasticsearch, Logstash, Kibana. Полный цикл от сбора логов до красивых визуализаций и сравнение с Splunk

1.
Архитектура ELK: Elasticsearch, Logstash, KibanaELK Stack — open-source альтернатива Splunk. Elasticsearch хранит и ищет, Logstash парсит и нормализует, Kibana визуализирует. Плюс Beats — лёгкие агенты сбора. Разбираем архитектуру, деплоим через Docker, проверяем здоровье кластера.1 шагов
2.
Настройка Logstash для сбора логовLogstash — конвейер обработки данных ELK. Настраиваем input (beats, syslog, file), filter (grok, mutate, geoip, date) и output (elasticsearch). Парсим Windows Security, Linux syslog и firewall-логи в ECS-формат.1 шагов
3.
Поиск и анализ данных в KibanaKibana Discover — рабочий инструмент SOC-аналитика. Настраиваем Data Views, используем KQL для поиска угроз, применяем фильтры, сохраняем поиски. Расследуем инцидент от первого алерта до полной картины атаки.1 шагов
4.
Создание визуализаций и дашбордов в Kibana

Sigma Rules и автоматизация

4 карт · 4 шагов

Универсальный язык детекции — пиши правила один раз, используй в любом SIEM. Sigma, конвертация и первые шаги в SOAR-автоматизации

1.
Формат Sigma: универсальные правила детекцииSigma — универсальный формат правил детекции. Одно правило → конвертация в SPL, KQL, Query DSL, QRadar. Разбираем синтаксис YAML, логику detection, маппинг на MITRE ATT&CK. Sigma делает правила переносимыми между любыми SIEM.1 шагов
2.
Написание кастомных Sigma-правилПишем Sigma-правила для реальных атак: Lateral Movement, Persistence, Defense Evasion, Exfiltration. Используем сложную логику: агрегации, корреляции, temporal proximity. Каждое правило — маппинг на MITRE ATT&CK с тестированием.1 шагов
3.
Конвертация Sigma в SPL и KQLАвтоматическая конвертация Sigma-правил в запросы для Splunk (SPL), Elasticsearch (KQL/DSL) и Microsoft Sentinel (Kusto). Настраиваем pipelines, field mappings, CI/CD деплой правил. Результат — единая кодовая база детекций для любого SIEM.1 шагов
4.
Автоматизация реагирования: SOAR-интеграции