📅 برنامه روزانه – هفته اول
مبتنی بر پلیبوک: عادیسازی لاگهای فورتیگیت و طراحی کنش سریع
🗓️ دوشنبه – شناخت لاگها و عادیسازی اولیه
⏱ مدت: ۴ ساعت
- مطالعهٔ مقدمهٔ پلیبوک (مفاهیم Splunk، لاگ، اجزای اصلی رخداد)
- بررسی فیلدهای کلیدی:
srcip، action، srccountry، service و ...
- آشنایی با مفهوم Field Alias و ایجاد یک Alias به نام
src_country که فیلد srccountry را نیز پوشش دهد
(Settings → Fields → Field aliases)
- تست با کوئری:
index=main sourcetype=fortigate | stats count by src_country
- ساخت فیلد محاسباتی
total_bytes = sentbyte + rcvdbyte با eval
🎯 خروجی فنی: اسکرینشات از Alias تعریفشده و نتیجهٔ اولین تحلیل بر اساس کشور مبدأ
📝 گزارش روزانه (دستنویس): توضیح دهید Field Alias و فیلد محاسباتی چه مشکلی را حل میکنند. چرا داشتن نام یکسان برای فیلدهای هممعنی در تحلیلهای امنیتی اهمیت دارد؟
🗓️ سهشنبه – تحلیل ترافیک و مصورسازی
⏱ مدت: ۴ ساعت
- تمرین تحلیل با SPL روی دادهٔ نرمالشده:
- پیدا کردن ۵ آیپی با بیشترین حجم ترافیک (
stats sum(total_bytes) by srcip)
- توزیع
action (timeout, accept, ip-conn) برای هر src_country
- میانگین
total_bytes برای هر کشور
- ترسیم نمودار سریع با
chart count by src_country, action
- تحلیل رفتار غیرعادی: کدام کشور یا IP زمانهای timeout بالایی دارد؟
- بحث گروهی: تفسیر نتایج و فرضیهسازی دربارهٔ منشأ ترافیک
🎯 خروجی فنی: جدول Top 5 IP، نمودار توزیع action و تحلیل مکتوب از یافتهها
📝 گزارش روزانه (دستنویس): نتایج تحلیل خود را خلاصه کنید. کدام IP یا کشور رفتار مشکوک داشت؟ چه فرضیهای برای بررسی بیشتر دارید؟
🗓️ چهارشنبه – اقدام سریع و تمرین ترکیبی
⏱ مدت: ۳.۵ ساعت
- معرفی Workflow Actions و ساخت یک نمونه برای جستجوی Whois:
- Label: Whois_SrcIP
- URI:
https://who.is/whois-ip/ip-address/$srcip$
- Apply to sourcetype:
fortigate
- تست روی آیپیهای مشکوک شناساییشده در روز قبل
- با استفاده از
dc(dstport) و total_bytes، آیپیهایی را بیابید که به بیش از ۵ پورت مقصد مختلف متصل شدهاند و مجموع ترافیک آنها بیش از ۵۰۰۰ بایت است.
- نتیجه را از طریق Workflow Action تحلیل کنید.
- جمعبندی، رفع اشکال و مرور نکات کلیدی
🎯 خروجی فنی: کوئری ترکیبی برای شناسایی اسکن پورت و مستندات Workflow Action
📝 گزارش روزانه (دستنویس): شرح دهید که چگونه توانستید رفتار اسکن را تشخیص دهید. Workflow Action چطور به سرعت پاسخدهی کمک کرد؟
📌
یادآوری:
- گزارش های روزانه باید به صورت دستنویس به استاد تحویل داده شود.