راهنمای تخصصی عملیات امنیت و دفاع سایبری

Splunk SOC & Cyber Defense Operations

راهنمای جامع معماری مرکز عملیات امنیت، مدیریت داده‌های امنیتی، مهندسی تشخیص، Threat Hunting، پاسخ‌گویی به رخداد، تحلیل جرم‌شناختی دیجیتال و عملیات دفاع سایبری

SOC Operations SIEM Engineering Splunk Enterprise Security Incident Response Threat Intelligence Detection Engineering Digital Forensics

هیچ بخشی با عبارت جست‌وجو یا فیلتر انتخاب‌شده مطابقت ندارد.

۱. مبانی و معماری مرکز عملیات امنیت (SOC Fundamentals & Architecture)

هدف، مأموریت و دامنه فعالیت

پایش پیوسته زیرساخت‌ها، تجهیزات، کاربران و سرویس‌ها 24/7/365
تشخیص (Detection)، اعتبارسنجی (Validation)، اولویت‌بندی (Prioritization) و تحلیل هشدارهای امنیتی
محدودسازی اثر حمله (Containment)، حذف عامل تهدید (Eradication) و بازیابی سرویس (Recovery)
حفاظت از محرمانگی، یکپارچگی و دسترس‌پذیری اطلاعات (CIA Triad)
مدیریت ریسک، ثبت شواهد، گزارش‌دهی مدیریتی و پشتیبانی از انطباق
بهبود مستمر کنترل‌های امنیتی براساس یافته‌های عملیاتی و درس‌آموخته‌ها (Lessons Learned)

مدل‌های ساختاری SOC

In-House SOC: تیم، ابزارها و فرایندهای تحت مدیریت مستقیم سازمان
Virtual / Cloud SOC: عملیات توزیع‌شده با زیرساخت محلی یا بومی ابر
Managed SOC / MSSP: برون‌سپاری پایش و پاسخ اولیه به ارائه‌دهنده خدمات بیرونی
Hybrid SOC: ترکیب تیم داخلی با خدمات مدیریت‌شده بیرونی
Co-Managed SOC: تقسیم مسئولیت‌ها میان سازمان و شریک خدماتی

حوزه‌های عملیاتی و اجزای کلیدی معماری

Telemetry Sources: منابع تله‌متری (Endpoint، Network، Identity، Email، Cloud و Application)
Data Ingestion: خط لوله دریافت و انتقال مطمئن و قابل‌ردیابی داده‌ها
SIEM: سامانه مدیریت اطلاعات و رویدادهای امنیتی برای تجمیع و همبستگی
EDR / XDR: تشخیص و پاسخ در نقطه پایانی و توسعه‌یافته در چند دامنه
SOAR: هماهنگ‌سازی، خودکارسازی و پاسخ امنیتی
Threat Intelligence Platform: مدیریت داده‌های تهدید و شاخص‌های نفوذ (IOC)
Case Management: مدیریت پرونده رخداد، مستندسازی و پیگیری

اصول عملیاتی و طراحی

Least Privilege: اعطای حداقل سطح دسترسی لازم
Defense in Depth: دفاع چندلایه و مستقل
Zero Trust: اعتبارسنجی مستمر هویت، دستگاه و زمینه دسترسی
Evidence-Based Decisions: تصمیم‌گیری مبتنی بر شواهد قابل بازبینی
Separation of Duties: تفکیک وظایف حساس و کنترل دسترسی
ثبت Audit Trail و کنترل دسترسی مبتنی بر نقش (RBAC)
اندازه‌گیری Data Quality، Coverage و Detection Gaps

SOC فقط یک ابزار یا اتاق مانیتورینگ نیست؛ مجموعه‌ای از افراد، فرایندها، فناوری‌ها، حاکمیت و شاخص‌های قابل سنجش است.

۲. سرمایه انسانی، نقش‌ها و مهارت‌ها

ساختار چندسطحی عملیات

Tier 1 — Triage Analyst: پایش هشدار، بررسی اولیه، تعیین False Positive یا نیاز به ارجاع و ثبت پرونده
Tier 2 — Incident Responder: تحقیق عمیق، تعیین دامنه (Scope)، تحلیل خط زمانی و هماهنگی مهار
Tier 3 — Threat Hunter / SME: شکار فعال تهدید، تحلیل پیشرفته و مهندسی تشخیص
SOC Engineer: مدیریت دریافت داده، خط لوله داده (Pipeline)، پارسرها و بهینه‌سازی جست‌وجوها
Detection Engineer: طراحی، آزمون، نسخه‌بندی و تنظیم قواعد تشخیص (Detection Rules)
Threat Intelligence Analyst: ارزیابی منابع اطلاعات تهدید و ارتباط شاخص‌ها با زمینه عملیاتی
SOC Manager: ظرفیت تیم، SLA، کیفیت، گزارش‌دهی و هماهنگی بحران
Incident Commander: هدایت رخدادهای عمده و تصمیم‌گیری بین‌تیمی

مسئولیت‌های مشترک

استفاده از Playbookهای مصوب و Escalation Matrix
مستندسازی زمان، شواهد، تصمیم‌ها و اقدامات انجام‌شده
بازبینی Peer Review برای تشخیص‌ها و تغییرات حساس
برگزاری Lessons Learned و انتقال دانش بین شیفت‌ها

ماتریس مهارت‌های تحلیلگر

ماتریس مهارت‌های تخصصی تحلیلگر SOC
حوزه	مهارت کلیدی	کاربرد در SOC
Networking	TCP/IP، DNS، HTTP/S، TLS، VPN	تحلیل ارتباطات و C2
Operating Systems	Windows Events، Linux Audit، Process Tree	بررسی فعالیت میزبان
Identity	Authentication، MFA، IAM، Kerberos	تشخیص سوءاستفاده از حساب
Data Analytics	SPL، فیلتر، تجمیع و همبستگی	تحلیل سریع لاگ‌ها
Investigation	Timeline، Evidence Handling، Hypothesis	بازسازی زنجیره رخداد
Communication	گزارش دقیق و Escalation	هماهنگی فنی و مدیریتی

RACI و مالکیت فرایند

نمونه ماتریس مسئولیت (RACI)
فعالیت	مسئول اجرا (R)	پاسخ‌گوی نهایی (A)	مشاور (C)
Alert Triage	Tier 1	SOC Lead	Tier 2
Incident Investigation	Tier 2	Incident Commander	IT / Legal
Detection Engineering	Detection Engineer	SOC Engineering Lead	Threat Hunter
Containment Approval	Incident Response	مالک مجاز سرویس یا Incident Commander	IT / Legal / Privacy
Post-Incident Review	Incident Manager	Security Leadership	تیم‌های درگیر

RACI به‌معنای Responsible، Accountable، Consulted و Informed است. اختیار اجرای اقدامات اثرگذار بر سرویس باید مطابق سیاست سازمان تعریف شود.

۳. اکوسیستم SIEM و خط لوله داده

قابلیت‌های اصلی SIEM و Data Lifecycle Pipeline

Collection: گردآوری رویدادهای امنیتی از منابع متنوع (Windows Event Logs، Sysmon، Linux syslog/auditd، Firewall، IDS/IPS، DNS، Proxy، VPN، Identity Providers، Active Directory، Cloud Audit Logs، EDR و WAF)
Transport: انتقال امن، صف‌بندی، مدیریت خطا و جلوگیری از ازدست‌رفتن داده
Parsing & Normalization: تجزیه، استخراج فیلدها، تعیین Timestamp، شناسایی ساختار و نگاشت به مدل مشترک مانند CIM
Enrichment: غنی‌سازی زمینه‌ای با اطلاعات هویت، دارایی، GeoIP و Threat Intelligence
Indexing: آماده‌سازی و ذخیره‌سازی داده‌ها در ساختارهای قابل جست‌وجو
Correlation & Analytics: همبستگی رویدادها، تحلیل رفتار و شناسایی الگوهای حمله
Alerting & Incident Review: مدیریت هشدار، غنی‌سازی زمینه‌ای، امتیازدهی ریسک و ارجاع
Retention & Disposal: نگهداری طبق سیاست، آرشیو و حذف کنترل‌شده

کیفیت، پوشش و ارزیابی داده

Completeness: آیا رویدادهای مورد انتظار به طور کامل دریافت می‌شوند؟
Timeliness: آیا داده‌ها با تأخیر قابل قبول (Ingestion Latency) وارد می‌شوند؟
Accuracy: آیا فیلدها و Timestampها درست استخراج و تفسیر می‌شوند؟
Consistency: آیا نام فیلدها و ساختار داده‌ها در منابع مختلف سازگارند؟
Uniqueness: شناسایی و مدیریت داده‌های تکراری (Duplicate Events)
Availability & Coverage: آیا جست‌وجو، ذخیره‌سازی و پوشش منابع حیاتی برقرار است؟

مشکلات رایج و Data Onboarding Checklist

تغییر ناگهانی حجم ورودی (Ingestion Drop / Spike یا Source Silence)
اختلاف منطقه زمانی، Clock Drift یا Timestamp Parsing Error
فیلدهای خالی (Null)، نامعتبر یا تغییر Schema
تعیین Data Owner، Source Type، EPS (Events Per Second) و Retention
هزینه بالای داده بدون اولویت‌بندی بر مبنای ریسک

نبود هشدار لزوماً به معنی نبود تهدید نیست؛ ابتدا سلامت منابع داده، تأخیر ورود، مجوزها و پوشش تشخیص را بررسی کنید. افزایش حجم Ingestion بدون برنامه‌ریزی ظرفیت می‌تواند هزینه و پیچیدگی را بالا ببرد.

۴. معماری Splunk Enterprise و Splunk Enterprise Security

اجزای اصلی معماری Splunk

Universal Forwarder (UF): گردآوری و ارسال داده با مصرف منابع بسیار کم
Heavy Forwarder (HF): دریافت، پردازش، مسیریابی (Routing) و تبدیل داده در مسیر ورود
Indexer: دریافت، پردازش، نمایه‌سازی و ذخیره‌سازی داده‌ها برای جست‌وجوی سریع
Search Head: اجرای جست‌وجوها، داشبوردها، هشدارها و مدیریت Knowledge Objects
Deployment Server: توزیع متمرکز تنظیمات و برنامه‌ها به Forwarderهای مدیریت‌شده
Cluster Manager: هماهنگی و مدیریت وضعیت Indexer Cluster
Search Head Cluster Deployer: توزیع برنامه‌ها و پیکربندی‌ها میان اعضای خوشه Search Head
Monitoring Console / License Manager: پایش سلامت، عملکرد محیط و مدیریت مجوزها

مفاهیم کلیدی داده و Splunk Enterprise Security

Index: محل منطقی و فیزیکی نگهداری رویدادهای نمایه‌شده
Sourcetype: نوع ساختاری داده و قواعد تفسیر آن (Parsing Rules)
Source & Host: کانال/فایل منبع و شناسه میزبان منتسب به رویداد
Knowledge Objects: Saved Search، Event Type، Tag، Macro، Lookup و Field Alias
Splunk Enterprise Security (ES): شامل Correlation Searches، Notable Events، Risk-Based Alerting (RBA)، Asset & Identity Framework و Threat Intelligence Framework

ملاحظات معماری و پایداری

طراحی بر اساس حجم داده (Ingestion Volume)، نرخ رویداد (EPS)، جست‌وجوهای هم‌زمان (Search Concurrency) و نیاز نگهداری
جداسازی نقش‌ها، کنترل دسترسی مبتنی بر نقش (RBAC) و حفاظت از اعتبارنامه‌ها
پشتیبان‌گیری، آزمون Replication، Search Factor و بازیابی پیکربندی‌ها
آزمون تغییرات در محیط غیرتولیدی پیش از انتشار عملیاتی

جزئیات ظرفیت، نقش هر کامپوننت و رفتار Pipeline به نسخه Splunk، توپولوژی و تنظیمات واقعی بستگی دارد؛ مستندات نسخه مورد استفاده باید مرجع نهایی باشد.

۵. چرخه عمر داده، Indexing، CIM و Data Governance

مراحل خط لوله و مفاهیم ذخیره‌سازی (Buckets)

Hot Bucket: داده فعال برای نوشتن و جست‌وجوی سریع
Warm Bucket: داده نمایه‌شده پس از مرحله Hot، بسته‌شده و آماده جست‌وجو
Cold Bucket: داده قدیمی‌تر انتقال‌یافته به ذخیره‌ساز ارزان‌تر اما همچنان قابل جست‌وجو
Frozen Data: داده خارج‌شده از چرخه فعال؛ بسته به سیاست آرشیو یا حذف می‌شود
Thawed Data: داده آرشیوی که برای جست‌وجوی مجدد بازیابی شده است

فایل‌های پیکربندی و مدیریت ورود

props.conf: تنظیمات استخراج فیلد، زمان (Timestamp) و پردازش رویداد
transforms.conf: تعریف تبدیل‌ها، مسیریابی، Lookups و استخراج‌های Regex
inputs.conf & outputs.conf: تعریف ورودی‌های داده و مقاصد ارسال رویدادها

Common Information Model (CIM) و حفاظت از داده

مدل مشترک اطلاعات (CIM) داده‌ها را به مدل‌ها و فیلدهای استاندارد نگاشت می‌کند تا محتوا، داشبوردها و تحلیل‌های سازگار در سراسر سازمان قابل استفاده باشند.

Field Mapping، Field Alias و Event Types برای یکسان‌سازی نام‌ها
Data Model Acceleration جهت افزایش چشمگیر سرعت تحلیل‌های سنگین
Data Protection: طبقه‌بندی PII، Secret، Credential و داده‌های حساس
حداقل‌سازی جمع‌آوری، ماسک‌کردن فیلدهای غیرضروری و رمزنگاری داده در انتقال و ذخیره‌سازی
پایش مداوم Data Quality (Source Silence، Parsing Errors و Ingestion Latency)

۶. زبان جست‌وجوی Splunk (Search Processing Language — SPL)

SPL برای جست‌وجو، فیلتر، تبدیل، تجمیع و تحلیل داده‌های رویدادی به‌کار می‌رود. نام Index، Sourcetype و فیلدها باید با محیط واقعی تطبیق داده شوند.

جست‌وجوی پایه و محدودسازی زمان

Basic Search

index=security earliest=-24h latest=now
| stats count by host sourcetype
| sort - count

بررسی تلاش‌های ناموفق ورود (Authentication Analysis)

Authentication Analysis

index=security earliest=-24h
(EventCode=4625 OR action=failure OR status=failed)
| stats count values(src_ip) as source_ips by user host
| sort - count

بررسی حجم رویداد به تفکیک میزبان (Volume Baseline)

Volume Baseline

index=* earliest=-60m
| timechart span=5m count by host limit=10 useother=f

تحلیل ارتباطات شبکه (Network Traffic Analysis)

Network Traffic

index=network earliest=-24h
| stats count sum(bytes_out) as total_bytes by src_ip dest_ip dest_port
| sort - total_bytes
| head 20

فیلتر و تجمیع رویدادها (Filtering and Aggregation)

Filtering and Aggregation

index=security earliest=-24h
| where isnotnull(user)
| eval user_lower=lower(user)
| stats count dc(host) as affected_hosts values(action) as actions by user_lower
| where count >= 10
| sort - count

دستورهای متداول SPL

مرجع سریع دستورات پرکاربرد SPL
دستور	کاربرد	نکته بهینه‌سازی
`search`	جست‌وجو و فیلتر رویدادها	فیلتر اولیه را در اولین pipe محدود کنید.
`where`	فیلتر با عبارت شرطی و توابع	برای شرط‌های مبتنی بر مقدار و مقایسه فیلدها
`fields`	انتخاب یا حذف فیلدهای موردنیاز	کاهش بار حافظه با حذف فیلدهای اضافی
`table`	نمایش داده به‌صورت جدولی	تنها در انتهای پایپ‌لاین برای نمایش استفاده شود.
`stats`	تجمیع و محاسبه آمار (count, sum, dc, values)	بسیار سریع‌تر از transaction برای اکثر سناریوها
`timechart`	تحلیل روند و سری‌های زمانی	span را با نرخ و بازه داده هماهنگ کنید.
`eval`	ساخت یا محاسبه فیلد جدید	نوع داده و مقادیر null را بررسی کنید.
`rex`	استخراج فیلد مبتنی بر Regular Expression	Regex را روی داده نمونه آزمایش و بهینه کنید.
`lookup`	غنی‌سازی داده با جدول مرجع خارجی	منبع و تازگی جدول Lookup را بررسی کنید.
`dedup`	حذف نتایج تکراری براساس فیلدها	ترتیب داده‌ها و هدف تحلیل اهمیت دارد.
`transaction`	ترکیب رویدادهای مرتبط در یک مجتمع	پرهزینه؛ فقط در صورت نیاز به constraintهای خاص استفاده شود.
`tstats`	جست‌وجوی بسیار سریع روی Data Modelهای شتاب‌یافته	به طراحی و تسریع Data Model وابسته است.

نمونه‌ها تضمین نمی‌کنند که همه فیلدها در هر نصب وجود داشته باشند. ابتدا داده نمونه، مجوزها، Time Range، Index و Sourcetype را بررسی کنید؛ جست‌وجوهای گسترده روی index=* ممکن است پرهزینه باشند.

۷. مهندسی تشخیص تهدید (Detection Engineering)

چرخه توسعه و عمر Detection Rule

تعریف مسئله، دارایی هدف و فرضیه رفتار تهدید
تدوین فرضیه و نگاشت به تاکتیک‌ها و تکنیک‌های MITRE ATT&CK
شناسایی منابع داده، بررسی موجودبودن و کیفیت فیلدها
نوشتن Query یا Detection Logic با دامنه زمانی روشن
آزمون با داده آزمایشی، رخدادهای معتبر، شبیه‌سازی و Historical Replay
اندازه‌گیری Precision، Recall، False Positive و هزینه اجرا
تعریف Severity، Confidence، Threshold، Suppression و Escalation
نسخه‌بندی (Detection-as-Code)، بازبینی همتا (Peer Review) و استقرار کنترل‌شده
پایش پس از انتشار، بازتنظیم (Tuning) و بازبینی دوره‌ای

اجزای استاندارد یک Detection Rule

نام، شناسه، مالک، نسخه و هدف تشخیص
منابع داده، فیلدهای ضروری و شرط‌های منطقی
شدت (Severity)، اطمینان (Confidence) و زمینه دارایی (Asset Context)
منطق کاهش نویز (Tuning) و استثناهای مستند شده (Allowlists)
راهنمای تحلیلگر (Analyst Guidance / Runbook) و اقدامات بعدی
آزمون‌های مثبت و منفی و معیار موفقیت

نمونه منطق تشخیص و اولویت‌بندی (Detection Logic Example)

Detection Logic Example

index=security earliest=-15m
(EventCode=4625 OR action=failure)
| stats count dc(src_ip) as source_count values(src_ip) as sources by user
| where count >= 8
| eval severity=if(source_count >= 4, "high", "medium")
| table user count source_count sources severity

این نمونه آموزشی است، نه قاعده آماده تولید. آستانه‌ها باید با رفتار پایه سازمان، نوع حساب، کنترل‌های موجود و داده واقعی تنظیم شوند.

کاهش False Positive و بهینه‌سازی (Tuning)

استفاده از Baseline رفتاری و تحلیل زمینه‌ای (Contextual Analysis)
غنی‌سازی با Criticality دارایی، نوع حساب (Service vs User) و اطلاعات تهدید معتبر
مستندسازی Allowlist با تعیین مالک، دلیل فنی و تاریخ انقضا
ترکیب چند سیگنال مستقل (Multi-signal) به‌جای تکیه بر یک IOC منفرد
بازبینی دوره‌ای استثناها و پایش تغییرات محیطی

مفاهیم True Positive و False Positive

True Positive (پست مثبت واقعی): رویداد شناسایی‌شده‌ای که نشان‌دهنده یک فعالیت مخرب یا امنیتی واقعی است و نیاز به پاسخ‌گویی دارد.
False Positive (مثبت کاذب): هشداری که به اشتباه توسط سیستم تشخیص داده شده است، در حالی که فعالیت انجام‌شده کاملاً مجاز و مشروع است.
False Negative (منفی کاذب): فعالیت مخربی که سیستم تشخیص نداده و از دید SIEM پنهان مانده است.

۸. شکار تهدید (Threat Hunting) و تحلیل رفتاری

ویژگی‌ها و الگوی Hypothesis-Driven Hunting

فعال (Proactive)، فرضیه‌محور و مبتنی بر شواهد شاداب
تمرکز بر رفتارهای مشکوکی که ممکن است از قواعد تشخیص موجود (Alerts) عبور کنند
استفاده از داده‌های Endpoint، Identity، Network و Cloud
مستندسازی Query، دامنه جست‌وجو، محدودیت داده و نتیجه
تبدیل یافته‌های معتبر به Detection Rules جدید، کنترل‌های پیشگیرانه یا بهبود Logging

چرخه ساخت و بررسی فرضیه

Hypothesis: تعریف فرضیه آزمون‌پذیر بر پایه مدل تهدید یا رفتار غیرعادی
Data Review: بررسی پوشش، زمان، کیفیت داده و شناسایی نقاط کور
Query & Execution: ساخت جست‌وجوی قابل تکرار و اجرای مرحله‌ای
Pivot & Analysis: حرکت میان کاربر، میزبان، IP، درخت پردازش و زمان
Validation: اعتبارسنجی با شواهد مستقل و بررسی توضیحات مشروع
Outcome: ثبت نتیجه (عدم مشاهده شواهد، نیاز به داده بیشتر، یا تأیید فعالیت مشکوک)

تحلیل ناهنجاری و رفتار (UEBA)

Baseline: تعریف رفتار معمول و متداول برای کاربر یا دارایی
Outlier Detection: شناسایی انحراف‌های آماری و رفتاری شدید
Peer Group Analysis: مقایسه رفتار موجودیت با گروه‌های هم‌نوع و هم‌سطح
Sequence Analysis: تحلیل توالی زمانی رویدادهای مرتبط
Risk Scoring: امتیازدهی پویا با توجه به زمینه، شدت و ارزش دارایی

نتیجه «چیزی پیدا نشد» در شکار تهدید باید همراه با دامنه، زمان، منابع داده و محدودیت پوشش ثبت شود؛ این نتیجه به‌تنهایی اثبات‌کننده نبود تهدید نیست.

۹. چارچوب‌های امنیتی و مدل‌سازی تهدید

MITRE ATT&CK Framework

چارچوبی دانشنامه‌ای برای طبقه‌بندی و سازمان‌دهی تاکتیک‌ها، تکنیک‌ها و روش‌های مشاهده‌شده در رفتار مهاجمان است. در SOC برای مدل‌سازی تهدید، نگاشت Detectionها و تحلیل شکاف پوشش استفاده می‌شود.

Reconnaissance & Resource Development: شناسایی هدف و آماده‌سازی زیرساخت
Initial Access: دستیابی اولیه به محیط هدف (Phishing، Valid Accounts، Exploit)
Execution: اجرای کد یا فرمان‌های مخرب (PowerShell، Cmd، SSH)
Persistence & Privilege Escalation: حفظ دسترسی و افزایش سطح دسترسی
Defense Evasion: دورزدن کنترل‌های دفاعی و پنهان‌کاری
Credential Access: دسترسی غیرمجاز به اعتبارنامه‌ها (Dump، Phishing)
Discovery & Lateral Movement: شناسایی شبکه داخلی و حرکت میان سیستم‌ها
Collection, C2 & Exfiltration: گردآوری داده، ارتباط فرماندهی و خروج اطلاعات
Impact: تخریب، رمزنگاری یا ایجاد اختلال در دسترسی و خدمات

Cyber Kill Chain، Diamond Model و NIST CSF

Cyber Kill Chain: مدلی مرحله‌ای برای توصیف زنجیره حمله (شناسایی، آماده‌سازی، تحویل، بهره‌برداری، نصب، C2 و اقدام روی هدف). همه حملات الزاماً تمام مراحل را طی نمی‌کنند.

Diamond Model: مدل‌سازی روابط میان چهار عنصر پایه: Adversary (مهاجم)، Capability (توانایی)، Infrastructure (زیرساخت) و Victim (قربانی).

NIST Cybersecurity Framework (CSF 2.0)

Govern: تعیین مسئولیت، سیاست، فرهنگ و نظارت بر ریسک
Identify: شناخت دارایی‌ها، وابستگی‌ها و ارزیابی ریسک
Protect: اجرای کنترل‌های پیشگیرانه و آموزشی
Detect: کشف، پایش و تحلیل رویدادهای مشکوک
Respond: مدیریت، مهار و ارجاع رخدادهای تأییدشده
Recover: بازیابی سرویس‌ها و ارتقای تاب‌آوری سازمانی

چارچوب‌ها مکمل یکدیگرند و جایگزین ارزیابی ریسک یا الزامات قانونی و قراردادی قابل اعمال نیستند.

۱۰. چرخه پاسخ به رخداد (Incident Response Lifecycle)

مراحل شش‌گانه پاسخ به رخداد

Preparation (آمادگی): تدوین Playbookها، تعریف نقش‌ها، فهرست تماس، ابزارها، دسترسی‌های اضطراری و برگزاری تمرین‌های Tabletop
Detection & Analysis (تشخیص و تحلیل): اعتبارسنجی هشدارها، تعیین Severity/Confidence، شناسایی حساب‌ها و دارایی‌های درگیر و ساخت خط زمانی (Timeline)
Containment (مهار): محدودسازی گسترش حمله با اقدامات کوتاه‌مدت و بلندمدت (جداسازی شبکه، مسدودسازی IP/Domain، تعلیق حساب) همراه با اخذ مجوزهای لازم
Eradication (ریشه‌کنی): پاک‌سازی کامل عوامل تهدید، حذف ماندگاری‌ها (Persistence)، رفع آسیب‌پذیری‌ها و بازنشانی اعتبارنامه‌های افشا شده
Recovery (بازیابی): بازگردانی کنترل‌شده سرویس‌ها از منابع معتبر، آزمون یکپارچگی، احراز هویت و اعمال پایش‌های تقویت‌شده پس از بازگشت
Post-Incident Activity (فعالیت‌های پس از رخداد): تحلیل علت ریشه‌ای (RCA)، ثبت درس‌آموخته‌ها (Lessons Learned) و ارتقای قواعد تشخیص و Playbookها

طبقه‌بندی شدت و ساختار Incident Record

Critical: اثر گسترده یا خطر فوری برای خدمات حیاتی سازمان
High: نشانه‌های معتبر از Compromise یا ریسک بالای عملیاتی
Medium: رخداد نیازمند بررسی عمیق و اقدامات مهار کنترل‌شده
Low: رویداد محدود با اثر کم یا نیاز به پایش بیشتر

اجزای پرونده رخداد (Incident Record)

شناسه پرونده، زمان کشف، زمان تأیید و وضعیت جاری
شدت (Severity)، اطمینان (Confidence) و دامنه اثر (Scope)
دارایی‌ها، کاربران، سرویس‌ها و داده‌های حساس درگیر
خلاصه شواهد، Detection Logic و خط زمانی (Timeline)
اقدامات مهار، پاک‌سازی، بازیابی و تأییدیه‌های مربوطه
علت ریشه‌ای (Root Cause) و اقدامات اصلاحی دارای مالک و موعد

مهار یا خاموش‌کردن ناگهانی سیستم می‌تواند شواهد فرّار (Memory) یا سرویس‌های حیاتی را نابود کند. تصمیمات باید براساس Playbook مصوب، سطح تهدید و الزامات حفظ شواهد اتخاذ شوند.

۱۱. جرم‌یابی دیجیتال و تحلیل شواهد (Digital Forensics)

منابع شواهد و اصول نگهداری (Chain of Custody)

لاگ‌های سیستم‌عامل، احراز هویت، برنامه‌ها و تله‌متری EDR
سوابق شبکه (DNS، Proxy، Firewall، NetFlow و Packet Captures)
Cloud Audit Trails، فعالیت‌های IAM و لاگ‌های API
تصاویر دیسک (Disk Images) و حافظه رم (Memory Dumps)

اصول حیاتی جرم‌یابی دیجیتال

Chain of Custody: ثبت دقیق تحویل، دسترسی، زمان و مسئول هر مرحله از جمع‌آوری تا بایگانی
Integrity: محاسبه و ثبت کریپتوگرافیک Hash (مانند SHA-256) برای اثبات عدم تغییر شواهد
Time Normalization: تفکیک Time Zoneها، ثبت UTC Offset و توجه به Clock Skew سیستم‌ها
Reproducibility: مستندسازی ابزارها، نسخه‌ها و روش‌های به‌کاررفته جهت امکان تکرار تحلیل
Data Minimization: جمع‌آوری هوشمندانه و منحصر به داده‌های مجاز و مرتبط با پرونده

ساخت Timeline و ابزارهای کاربردی

تفکیک زمان مشاهده (Observed)، زمان وقوع (Event) و زمان دریافت لاگ (Ingestion)
پیوند دادن رویدادها به شناسه پرونده، دارایی، حساب کاربر و منبع داده
تفکیک دقیق مشاهدات قطعی (Facts) از فرضیه‌ها و استنباط‌های تحلیلگر
Velociraptor: جمع‌آوری و بررسی هوشمند Endpointها در استقرار مجاز
Volatility: تحلیل تخصصی حافظه رم در سناریوهای پشتیبانی‌شده
Wireshark: تحلیل عمیق بسته‌ها و جریان‌های شبکه
Sysmon & EDR: ثبت و بررسی درخت پردازش، فایل‌ها و شبکه در Endpoint

ابزار به تنهایی اثبات‌کننده نتیجه نیست؛ اعتبار شواهد، زمان‌بندی دقیق، زمینه عملیاتی و تکرارپذیری تحلیل اهمیت دارند.

۱۲. امنیت Cloud، هویت و دسترسی (Cloud & Identity Security)

حوزه‌های پایش و منابع داده ابری

Identity & IAM Audit: تغییر نقش‌ها، مجوزها، کلیدهای API، Tokenها و سیاست‌های دسترسی
Authentication & MFA: شکست‌های ورود، رفتار غیرعادی نشست‌ها (Sessions) و دورزدن MFA
Control Plane Audit: تغییرات پیکربندی زیرساخت ابری (AWS CloudTrail، Azure Activity Log، GCP Audit)
Data Access: دسترسی غیرعادی به مخازن داده (S3 Buckets، Blob Storage، Databases)
Cloud Workloads: پایش ماشین‌های مجازی، Containers، Kubernetes و Serverless Functions

اصول دفاع از هویت و مسئولیت مشترک (Shared Responsibility)

استفاده از MFA مقاوم در برابر فیشینگ (FIDO2/Passkeys) برای حساب‌های حساس
کاهش دسترسی‌های دائمی و پیاده‌سازی Just-in-Time (JIT) Access
مدیریت امن Secrets، Tokenها و عدم ذخیره کلیدهای دسترسی در سورس‌کد
پایش پیوسته تغییرات در Privileged Accounts و مسدودسازی دسترسی‌های ناموجه
Cloud Shared Responsibility Model: مسئولیت امنیت میان ارائه‌دهنده ابر (حفاظت از زیرساخت) و مشتری (حفاظت از داده، هویت و پیکربندی‌ها) تقسیم می‌شود.

هشدارهای Identity و Cloud باید با تغییرات مجاز، وظایف شغلی، بازه نگهداری لاگ و محدودیت‌های هر ارائه‌دهنده تطبیق داده شوند.

۱۳. اتوماسیون امنیتی، SOAR و مدیریت گردش کار

اجزای کلیدی SOAR

Orchestration: اتصال و هماهنگی ابزارهای مختلف امنیتی از طریق APIها
Automation: اجرای خودکار گام‌های تکراری، ساختیافته و قابل پیش‌بینی
Playbooks: گردش‌کارهای تعریف‌شده و کدنومود برای سناریوهای مشخص رخداد
Case Management: نگهداری متمرکز پرونده، وظایف تیم، SLA و Audit Trail کامل
Enrichment: دریافت خودکار زمینه از منابع داخلی (Asset/Identity) و بیرونی (Threat Intel)

نمونه جریان کاری (Playbook Flow)

دریافت هشدار از SIEM و اعتبارسنجی ساختار آن
بررسی تکراری بودن و غنی‌سازی خودکار با اطلاعات دارایی و هویت
ارزیابی خودکار اعتبار IOCها از طریق Threat Intelligence Platform
ایجاد یا به روزرسانی پرونده و محاسبه اولویت و Severity
ارسال اعلان یا درخواست تأیید انسانی (Approval Gate) برای اقدامات حساس
اجرای اقدام مجاز مهار از طریق Connector و ثبت دقیق نتایج

کنترل‌های ایمن اتوماسیون

اصل حداقل دسترسی برای حساب‌های سرویس و اتصالات API
Human-in-the-Loop: الزام تأیید انسانی برای اقدامات پراثر، تخریبی یا برگشت‌ناپذیر
Idempotency: اطمینان از اینکه اجرای چندباره یک دستور خودکار باعث بروز خطای جدید نمی‌شود
مدیریت Timeout، Rate Limiting و مکانیزم‌های Retry در ارتباطات API
ثبت Audit Logging کامل، نسخه‌بندی Playbookها و آزمون در محیط آزمایشگاهی
وجود Rollback Plan و امکان اجرای دستی سریع در صورت بروز اختلال در اتوماسیون

اقداماتی مانند غیرفعال‌سازی حساب کاربر، ایزوله‌کردن Endpoint یا تغییر قواعد جدارآتش باید دارای دامنه روشن، تأیید مجاز و راهکار بازگشت (Rollback) باشند.

۱۴. معیارهای عملکرد، کیفیت و KPIهای SOC

MTTDمیانگین زمان تا تشخیص

MTTAمیانگین زمان تا پذیرش/رسیدگی

MTTRمیانگین زمان پاسخ/بازیابی

FPRنرخ هشدارهای مثبت کاذب

Coverageپوشش منابع داده و ATT&CK

SLAدرصد رعایت تعهدات زمانی

تعریف و تفسیر دقیق شاخص‌ها

MTTD (Mean Time to Detect): زمان بین وقوع واقعی رخداد تا تشخیص آن توسط سیستم یا تحلیلگر.
MTTA (Mean Time to Acknowledge): زمان بین تولید هشدار تا پذیرش و شروع رسیدگی توسط تحلیلگر Tier 1.
MTTR (Mean Time to Respond / Recover / Resolve): زمان لازم برای مهار، پاک‌سازی و بازیابی. تعاریف باید در سازمان شفاف شوند.
Dwell Time: مدت زمان حضور ناخواسته مهاجم در شبکه پیش از کشف یا مهار کامل.
False Positive Rate (FPR): نسبت هشدارهای نادرست به کل هشدارهای تولیدشده در یک بازه زمانی.
Precision & Recall: دقت هشدارهای واقعی (Precision) و توانایی کشف تمام تهدیدات موجود (Recall).
Alert Backlog & Queue Age: تعداد و میانگین سنی هشدارهای باز و رسیدگی‌نشده در صف.
Data Source Availability & Ingestion Latency: درصد پایداری منابع داده و میزان تأخیر در ورود لاگ‌ها.

کاهش زمان رسیدگی نباید به قیمت کاهش کیفیت تحقیق یا بستن نادرست پرونده تمام شود. KPIها را همراه با شدت، پیچیدگی، کیفیت شواهد و نرخ بازگشایی تفسیر کنید.

۱۵. حاکمیت، مدیریت ریسک و حفاظت از داده

کنترل‌های مدیریتی و سازمانی

تعریف مالک داده (Data Owner)، مالک سامانه و مسئول پاسخ به رخداد
سیاست طبقه‌بندی اطلاعات و حداقل‌سازی داده‌های حساس (Data Minimization)
تعیین دوره نگهداری (Retention) و حذف امن بر اساس الزامات قانونی و سازمانی
کنترل دسترسی مبتنی بر نقش (RBAC) و بازبینی دوره‌ای دسترسی‌های ممتاز
مدیریت تغییر (Change Management) و ثبت تأییدیه‌ها پیش از تغییر قواعد
ثبت کامل فعالیت مدیران، جست‌وجوهای حساس و دسترسی به شواهد پرونده‌ها

حریم خصوصی، استانداردها و تاب‌آوری

محدودسازی دسترسی به PII و ماسک‌کردن فیلدهای غیرضروری در لاگ‌ها
رمزنگاری داده‌ها در حال انتقال (In-Transit) و در حال سکون (At-Rest)
پشتیبان‌گیری امن، نگهداری مجزا و آزمون دوره‌ای بازیابی (BCP/DR)
استانداردهای مرجع: ISO/IEC 27001، ISO/IEC 27035، NIST CSF 2.0، NIST SP 800-61 Rev 3، CIS Controls و PCI DSS
SOC 2: گزارش اطمینان‌بخشی بر اساس معیارهای خدمات مورد اعتماد (Trust Services Criteria)، نه یک استاندارد عمومی معادل ISO 27001

الزامات حقوقی و نگهداری داده به حوزه قضایی، نوع داده، صنعت و قرارداد بستگی دارد؛ این راهنما جایگزین مشاوره حقوقی یا ارزیابی انطباق نیست.

۱۶. ماتریس عملیاتی SOC و ابزارهای مرتبط

ماتریس مراحل عملیاتی، مسئولیت‌ها و ابزارهای مرکز عملیات امنیت
مرحله	هدف اصلی	فناوری‌ها و ابزارها	مسئول معمول	خروجی مورد انتظار
Log Ingestion	دریافت و نرمال‌سازی داده‌ها	Splunk Forwarder، Syslog، API، Fluentd	SOC Engineer	داده قابل جست‌وجو و پایش‌شده
Alert Triage	اعتبارسنجی و اولویت‌بندی اولیه	Splunk ES، SIEM، Threat Intelligence	Tier 1 Analyst	تصمیم اولیه و پرونده مستندشده
Deep Investigation	تعیین دامنه، اثر و خط زمانی	EDR، Windows Events، Wireshark، Forensics	Tier 2 Analyst	شواهد کامل و فرضیه آزموده‌شده
Containment	کاهش اثر و مهار گسترش رخداد	EDR Response، Firewall، IAM، SOAR	Incident Responder	مهار تأییدشده و ثبت Audit
Threat Hunting	یافتن رفتار و تهدیدات پنهان	SPL، ATT&CK، Notebooks، Telemetry	Tier 3 / Hunter	یافته قابل تکرار و بهبود تشخیص
Recovery	بازگشت امن و کنترل‌شده سرویس	Backup، EDR، IAM، Monitoring Controls	IT + Security	سرویس معتبر و پایش تقویت‌شده
Lessons Learned	کاهش احتمال تکرار رخداد	RCA، Ticketing، Detection-as-Code	SOC Manager	اقدام اصلاحی دارای مالک و موعد

۱۸. نقشه راه و مسیر یادگیری تخصصی

مرحله اول: مبانی و زیرساخت

شبکه: TCP/IP، DNS، HTTP/S، TLS، VPN و اصول Routing/Firewall
سیستم‌عامل: Windows Events، Sysmon، Linux Auditd و Process Trees
هویت: Authentication، Authorization، Kerberos، MFA، SSO و IAM
مفاهیم پایه: CIA Triad، Risk، Vulnerability، Threat و Least Privilege

مرحله دوم: تحلیلگری SOC و تحلیل داده

فرآیند Triage، تعیین Severity، Escalation و Incident Lifecycle
خواندن و همبستگی لاگ‌ها در SIEM و ساخت Timeline
تسلط بر Splunk Search، Fields، stats، eval، timechart و Lookups
آشنایی عملی با MITRE ATT&CK، IOCها و TTPها

مرحله سوم: مهندسی و تخصص پیشرفته

Detection Engineering، شبیه‌سازی حمله و مدیریت Detection-as-Code
Threat Hunting فرضیه‌محور، UEBA و تحلیل رفتاری
Incident Response پیشرفته، Digital Forensics و حفظ شواهد
Cloud Security Monitoring (AWS/Azure/GCP) و Identity Threat Detection
SOAR، توسعه Playbook، یکپارچه‌سازی API و ایمنی اتوماسیون
طراحی معماری SIEM، ظرفیت‌سنجی، Data Governance و بهینه‌سازی Pipeline

۱۹. واژه‌نامه تخصصی امنیت و SOC

واژه‌نامه اصطلاحات تخصصی مرکز عملیات امنیت و دفاع سایبری
اصطلاح	توضیح فارسی	کاربرد و توضیحات
SIEM	مدیریت اطلاعات و رویدادهای امنیتی	تجمیع، تحلیل و همبستگی رویدادهای امنیتی
SOAR	هماهنگ‌سازی، خودکارسازی و پاسخ امنیتی	مدیریت گردش‌کار، اتوماسیون و پاسخ کنترل‌شده
EDR	تشخیص و پاسخ در نقطه پایانی	تله‌متری عمیق، بررسی و مهار در سطح Endpoint
XDR	تشخیص و پاسخ گسترده	همبستگی داده‌های امنیتی در چندین دامنه مختلف
IOC	شاخص نفوذ (Indicator of Compromise)	Hash، IP یا دامنه‌ای که نشان‌دهنده نفوذ احتمالی است
IOA	شاخص رفتار حمله (Indicator of Attack)	الگوهای رفتاری که قصد و فعالیت جاری مهاجم را نشان می‌دهند
TTP	تاکتیک‌ها، تکنیک‌ها و رویه‌ها	مدل‌سازی و توصیف رفتار و الگوی عملیاتی عامل تهدید
RCA	تحلیل علت ریشه‌ای (Root Cause Analysis)	یافتن عوامل زمینه‌ساز اصلی و علت اولیه بروز رخداد
SLA	توافق‌نامه سطح خدمت	تعهدات زمانی و کیفی در رسیدگی به پرونده‌ها
MTTD	میانگین زمان تا تشخیص	ارزیابی سرعت کشف رویدادهای مشکوک
MTTA	میانگین زمان تا پذیرش/شروع رسیدگی	ارزیابی سرعت پاسخ اولیه تحلیلگران Tier 1
MTTR	میانگین زمان پاسخ، بازیابی یا رفع	ارزیابی سرعت مهار و بازگردانی سرویس
FPR	نرخ مثبت کاذب (False Positive Rate)	ارزیابی کیفیت، دقت و نویز قواعد تشخیص
RBAC	کنترل دسترسی مبتنی بر نقش	اعطای سطوح دسترسی دقیق متناسب با مسئولیت شغلی
CIM	مدل مشترک اطلاعات در Splunk	استانداردسازی نام فیلدها و مدل‌های داده‌ای
Hunting	شکار فعال تهدید (Threat Hunting)	جست‌وجوی فرضیه‌محور و فعالانه برای کشف تهدیدات پنهان
Enrichment	غنی‌سازی زمینه‌ای	افزودن اطلاعات تکمیلی دارایی، هویت یا Threat Intel به لاگ
Containment	مهار رخداد	محدودسازی دامنه، گسترش و اثر تخریبی حمله
Eradication	ریشه‌کنی عامل تهدید	حذف کامل علت ریشه‌ای و مکانیزم‌های ماندگاری تهدید
Chain of Custody	زنجیره نگهداری و تحویل شواهد	مستندسازی دقیق جهت حفظ قابلیت اعتماد قانونی شواهد

۲۰. منابع رسمی و مطالعه تکمیلی

برای جزئیات فنی، نسخه جاری محصولات، الزامات استاندارد و تغییرات معماری، مستندات رسمی زیر را بررسی کنید.

Splunk Documentation — مستندات رسمی محصولات، معماری و پیکربندی Splunk
Splunk Search Reference — مرجع کامل زبان SPL و دستورات جست‌وجو
Splunk Enterprise Security Documentation — راهنمای جامع قابلیت‌ها و تنظیمات ES
Splunk Training — مسیرهای آموزشی و دوره‌های رسمی Splunk
MITRE ATT&CK — دانش‌نامه مرجع تاکتیک‌ها، تکنیک‌ها و روش‌های مهاجمان
NIST Cybersecurity Framework — چارچوب رسمی مدیریت ریسک امنیت سایبری
NIST Computer Security Resource Center — انتشارات، استانداردهای NIST و SP 800-61
CIS Critical Security Controls — کنترل‌های اولویت‌دار امنیت سایبری
OWASP — منابع، راهنماها و پروژه‌های امنیت برنامه‌های کاربردی
CISA — راهنماها، هشدارها و توصیه‌نامه‌های رسمی امنیت سایبری
FIRST CVSS — چارچوب استاندارد امتیازدهی شدت آسیب‌پذیری‌ها
ISO/IEC 27001 — اطلاعات استاندارد بین‌المللی مدیریت امنیت اطلاعات
PCI Security Standards Council — استانداردهای امنیت داده‌های پرداخت
W3C WCAG — راهنمای دسترس‌پذیری محتوای وب

نسخه مستندات، قابلیت‌های محصولات، نام‌گذاری شاخص‌ها و جزئیات چارچوب‌ها ممکن است تغییر کند. برای پیاده‌سازی واقعی، مستندات نسخه نصب‌شده و الزامات سازمان را ملاک قرار دهید.