Darmowa lista na start labu. Płatne rozszerzenie (gdy powstanie) jest osobnym produktem — tu nic nie kasuję.
1. Host
- maszyna, na której wolno stawiać VM
- wystarczająco RAM/dysk na dwa endpointy + kolektor
- sieć labu odcięta od rzeczy, których nie chcesz zepsuć
- notatka: hypervisor, wersja, data
2. Endpointy
- Windows (lab, nie produkcyjny laptop służbowy)
- Linux
- czas zsynchronizowany
- nazwy hostów, które da się rozpoznać w logu
3. Logi zanim SIEM
- Windows: Security + PowerShell (wg docs)
- Linux: journal / auth
- wiesz, gdzie plik lub kanał leży lokalnie
4. Kolektor
- Wazuh manager w labie albo świadoma decyzja „jeszcze nie”
- agent na każdym endpoincie albo równoważny shipping
- jedno zdarzenie testowe, które widać po stronie kolektora
5. Ćwiczenie L1
- wygenerowane zdarzenie (logon, proces — własne)
- notatka: true / false / eskalacja
- jedno zdanie „czego nie widać w logu”
Nie odhaczaj ATT&CK, jeśli nie masz zdarzenia, które da się do techniki przypiąć.