SOC and SIEM with Wazuh

Section 1: SOC และบทบาทของ Blue Team

• SOC คืออะไร และบทบาทของ Analyst ระดับ Tier 1 ถึง Tier 3

• ขั้นตอนงานของ SOC ตั้งแต่ตรวจจับ คัดกรอง วิเคราะห์ จนถึงตอบสนอง

• ตัวชี้วัดที่ใช้วัดงาน SOC เช่น MTTD และ MTTR

• ปัญหา Alert Fatigue และแนวทางลด False Positive

• ภาพรวมภัยคุกคามที่องค์กรไทยพบบ่อย และสิ่งที่ SOC ต้องมองเห็น

Section 2: แนวคิด SIEM, XDR และสถาปัตยกรรม Wazuh

• SIEM, EDR และ XDR ต่างกันอย่างไร และทำงานร่วมกันแบบไหน

• องค์ประกอบของ Wazuh: Indexer, Server, Dashboard และ Agent

• เส้นทางของข้อมูลจาก Agent ผ่าน Decoder และ Rule จนกลายเป็น Alert

• รูปแบบการติดตั้งแบบ All-in-one, Distributed และบน Docker

• การวางแผนขนาดเครื่องและการเก็บข้อมูลย้อนหลัง

Section 3: Lab: ติดตั้ง Wazuh ด้วย Docker

• เตรียมเครื่องและค่าระบบที่ Wazuh Indexer ต้องการ

• ติดตั้ง Wazuh แบบ Single-node ด้วย Docker Compose

• สร้าง Certificate และเปลี่ยนรหัสผ่านเริ่มต้นให้ปลอดภัย

• สำรวจ Wazuh Dashboard: Overview, Endpoint และ Module ต่าง ๆ

• Lab: ตรวจสถานะ Service และแก้ปัญหาการติดตั้งที่พบบ่อย

Section 4: Lab: ติดตั้ง Agent บน Linux และ Windows

• ลงทะเบียน Agent และการสื่อสารระหว่าง Agent กับ Server

• ติดตั้ง Agent บน Linux และ Windows ผ่านคำสั่งที่ Dashboard สร้างให้

• จัดกลุ่ม Agent และใช้ Centralized Configuration ผ่าน agent.conf

• ตรวจสอบสถานะ Agent และแก้ปัญหา Agent ที่ไม่เชื่อมต่อ

• Lab: นำเครื่อง Linux และ Windows เข้าระบบและดูเหตุการณ์แรก

Section 5: Lab: เก็บ Log จาก Syslog, Windows Event และ Sysmon

• เก็บ Log จากไฟล์บน Linux และรับ Syslog จากอุปกรณ์เครือข่าย

• เลือก Windows Event Channel ที่สำคัญต่องานความปลอดภัย

• ติดตั้ง Sysmon พร้อม Configuration ที่เหมาะสม และส่ง Event เข้า Wazuh

• ค้นหาและกรองเหตุการณ์ใน Dashboard ด้วย Query และ Filter

• Lab: ติดตาม Process และการเชื่อมต่อเครือข่ายบน Windows ผ่าน Sysmon

Section 6: Decoder และ Rule ของ Wazuh

• โครงสร้าง Decoder และวิธีแยก Field ออกจาก Log

• โครงสร้าง Rule: Level, Group, If_sid และ Frequency

• ทดสอบ Log กับ Decoder และ Rule ด้วยเครื่องมือ wazuh-logtest

• ลำดับการทำงานของ Rule และการปรับ Level ให้เหมาะกับองค์กร

• Lab: ไล่ดู Rule ของเหตุการณ์ SSH Login ล้มเหลวทีละขั้น

Section 7: Lab: เขียน Custom Decoder และ Custom Rule

• เขียน Decoder สำหรับ Log ของแอปพลิเคชันภายในองค์กร

• เขียน Rule ตรวจจับพฤติกรรมผิดปกติที่ต่อยอดจาก Rule เดิม

• Rule แบบนับความถี่ตามช่วงเวลาสำหรับเหตุการณ์ซ้ำ

• ลด False Positive ด้วยการยกเว้นและปรับเงื่อนไข Rule

• Lab: ตรวจจับการเข้าสู่ระบบผิดปกติจาก Log ของเว็บแอปตัวอย่าง

Section 8: Lab: File Integrity Monitoring

• หลักการของ FIM และไฟล์หรือโฟลเดอร์ที่ควรเฝ้าระวัง

• ตั้งค่า syscheck แบบ Scheduled และ Real-time

• ติดตามว่าใครแก้ไฟล์ด้วยโหมด Who-data บน Linux และ Windows

• เฝ้าระวัง Windows Registry ที่ผู้โจมตีมักใช้ฝังตัว

• Lab: จับการแก้ไขไฟล์เว็บและไฟล์ตั้งค่าที่สำคัญ

Section 9: Lab: Vulnerability Detection และ SCA

• Vulnerability Detection ตรวจช่องโหว่จากรายการซอฟต์แวร์บนเครื่องอย่างไร

• อ่านรายงานช่องโหว่ จัดลำดับความสำคัญตามความรุนแรง และวางแผนแพตช์

• Security Configuration Assessment กับ Policy ตามแนวทาง CIS Benchmark

• ปรับแต่งหรือเขียน SCA Policy ให้ตรงมาตรฐานขององค์กร

• Lab: ประเมินและแก้ไขค่าความปลอดภัยของเครื่อง Linux ตามผล SCA

Section 10: MITRE ATT&CK กับ Wazuh

• โครงสร้าง MITRE ATT&CK: Tactic, Technique และ Sub-technique

• วิธีที่ Wazuh จับคู่ Rule กับ Technique ของ ATT&CK

• ใช้ ATT&CK Dashboard ดูภาพรวมเทคนิคที่เกิดขึ้นในองค์กร

• เพิ่ม MITRE ID ให้กับ Custom Rule ที่เขียนเอง

• Lab: หาช่องว่างของการตรวจจับจาก ATT&CK Matrix

Section 11: Lab: Active Response

• แนวคิด Active Response และความเสี่ยงของการตอบสนองอัตโนมัติ

• ใช้ Script สำเร็จรูป เช่น บล็อก IP ด้วย Firewall

• กำหนดเงื่อนไข ระยะเวลา และเครื่องที่ Active Response จะทำงาน

• เขียน Custom Active Response Script อย่างง่าย

• Lab: บล็อก IP ที่ Brute Force SSH โดยอัตโนมัติ

Section 12: Lab: การแจ้งเตือนและ Integration

• ตั้งค่าการส่ง Alert ทางอีเมลตาม Level และ Group ของ Rule

• เชื่อม Wazuh กับ Slack ผ่าน Integration ที่มีมาในตัว

• เขียน Custom Integration ส่ง Alert ไปยัง Webhook ของระบบแชตหรือระบบ Ticket

• ออกแบบระดับการแจ้งเตือนเพื่อลด Alert Fatigue ของทีม

• Lab: ส่ง Alert สำคัญเข้าช่องแชตของทีม SOC

Section 13: Threat Hunting เบื้องต้น

• ความต่างระหว่างรอ Alert กับการออกล่าภัยคุกคามเชิงรุก

• ตั้งสมมติฐานการล่าจากเทคนิคใน MITRE ATT&CK

• ค้นหาร่องรอยใน Wazuh Dashboard ด้วย Query และ Visualization

• ใช้ IOC เช่น Hash, IP และ Domain ในการค้นหา

• Lab: ล่าหาร่องรอย PowerShell ที่น่าสงสัยจากข้อมูล Sysmon

Section 14: Lab: จำลองการโจมตีและ Incident Response

• วงจร Incident Response: เตรียมพร้อม ตรวจจับ ควบคุม กำจัด และฟื้นฟู

• จำลอง Brute Force และสร้างบัญชีผู้ใช้แปลกปลอมบนเครื่องใน Lab

• จำลองการวางไฟล์ Malware ทดสอบ (EICAR) และติดตามการตรวจจับ

• สืบสวนเหตุการณ์จาก Alert และสร้าง Timeline ของการโจมตี

• เขียน Incident Response Playbook สำหรับเหตุการณ์ที่พบบ่อย

Section 15: Workshop: Capstone SOC จำลอง

• รับบทเป็นทีม SOC ตรวจจับและวิเคราะห์ชุดการโจมตีที่วิทยากรจำลองขึ้น

• คัดกรอง Alert แยก False Positive และประเมินความรุนแรง

• ควบคุมเหตุการณ์ด้วย Active Response และมาตรการตาม Playbook

• เขียนรายงานเหตุการณ์และข้อเสนอปรับปรุงการตรวจจับ

• Checklist ก่อนนำ Wazuh ไปใช้งานจริงในองค์กร