في هذا المشروع قمت بعمل عملية Threat Hunting على سجلات شبكة داخل بيئة لاب، بهدف اكتشاف أنشطة غير طبيعية مرتبطة بهجوم محتمل.
التركيز كان على حركة SMB المشبوهة (Port 445) والتي قد تشير إلى استغلالات مثل EternalBlue أو انتشار برمجيات الفدية.
الخطوات:
جمع السجلات من الأجهزة المستهدفة عبر Splunk SIEM.
استخدام Queries (SPL) لاكتشاف ارتفاع في حجم الاتصالات على المنفذ 445.
مقارنة الأنشطة بالسلوك الطبيعي (Baseline vs Anomalous Traffic).
تحديد Indicators of Compromise (IOCs): محاولات اتصال غير معتادة، IPs خارجية مشبوهة، ارتفاع عدد Sessions في فترة قصيرة.
إنشاء Dashboard في Splunk يعرض التنبيهات بصريًا.