🔴 خیلی جاها دیدم کلی ابزار امنیتی پیاده‌سازی شده،
ولی وقتی Incident میشه، عملاً هیچ لاگ به درد بخوری وجود نداره.

به تجربه، اگه این ۵ لاگ رو نداشته باشی SOC فقط اسمشه :

1️⃣ Authentication Logs
برای فهمیدن اینکه کی، کِی و از کجا لاگین کرده (یا تلاش کرده).

2️⃣ Endpoint Logs (مثل Sysmon / EDR)
برای دیدن اجرای فایل‌ها، PowerShell، Processهای مشکوک.

3️⃣ Network Traffic Logs
برای تشخیص ارتباطات غیرعادی، IPهای خارجی، C2.

4️⃣ DNS Logs
خیلی از حمله‌ها از DNS لو میرن، ولی معمولاً نادیده گرفته میشه.

5️⃣ Firewall / Security Device Logs
جایی که مشخص میشه چی بلاک شده و چی رد شده.

📌 امنیت با ابزار شروع نمیشه،
با لاگ درست شروع میشه.


@Socroot