📋 Runbook هفته پنجم

مرحله ۱: شناسایی ICMP Flood

کوئری زیر تعداد بالای ICMP از یک IP را نشان می‌دهد:

index=firewall sourcetype=fortigate service=ICMP
| stats count by srcip
| sort - count
| head 20

اگر یک IP تعداد بسیار بالایی بسته ICMP ارسال کرده، مشکوک به Flood است.

مرحله ۲: تحلیل C2 Beaconing

اتصالات مکرر با حجم کم را بیابید:

index=firewall sourcetype=fortigate
| eval total_bytes = sentbyte + rcvdbyte
| stats count, avg(total_bytes) as avg_bytes by srcip, dstip
| where count > 20 AND avg_bytes < 500
| sort - count

IPهایی که تعداد بالا و حجم کم دارند، مشکوک به C2 هستند.

مرحله ۳: تشخیص Lateral Movement

index=firewall sourcetype=fortigate (dstport=445 OR dstport=3389)
| stats dc(dstip) as dest_count by srcip
| where dest_count > 5
| sort - dest_count

یک سیستم آلوده معمولاً به چندین مقصد داخلی روی این پورت‌ها متصل می‌شود.

مرحله ۴: شناسایی DNS Tunneling

index=firewall sourcetype=fortigate service=DNS
| stats count by srcip, dstip
| where count > 50
| sort - count

اگر یک IP داخلی به یک مقصد DNS خارجی تعداد بسیار بالایی query دارد، باید بررسی شود.

مرحله ۵: ساخت گزارش و هشدار

برای C2 Beaconing یک هشدار با شرط count > 20 بسازید:

index=firewall sourcetype=fortigate
| stats count by srcip, dstip
| where count > 20

از Save As → Alert استفاده کنید.

مرحله ۶: مستندسازی و پاسخ

1. IPهای مشکوک را یادداشت کنید.
2. یک گزارش کوتاه از یافته‌ها بنویسید.
3. اقدامات پیشنهادی (مسدودسازی، قرنطینه، بررسی بیشتر) را ثبت کنید.