1) Incident Handling Process
IR Lifecycle বোঝা হলো ফাউন্ডেশন: Preparation → Detection & Analysis → Containment → Eradication → Recovery → Lessons Learned. সঙ্গে ডকুমেন্টেশন, চেইন-অফ-কাস্টডি, এবং কমিউনিকেশন প্লেবুক প্রস্তুত রাখুন।
Must-Learn
- Incident Categories, Severity & SLAs
- Runbooks/Playbooks (ফিশিং, র্যানসমওয়্যার, প্রিভ-এস্ক)
- Case Management: TheHive / RTIR / Jira
Quick Win
- একটি টেমপ্লেটেড Incident Report বানান
- Lessons Learned মিটিং নোট ফরম্যাট
2) Threat Hunting Techniques
“Assume Breach” মাইন্ডসেটে Hypothesis তৈরি করে লগ/এন্ডপয়েন্ট ডেটা থেকে প্রমাণ খুঁজুন। MITRE ATT&CK দিয়ে TTP ট্র্যাক করুন, IOC/IOA আলাদা করুন।
Starter Hunts (আইডিয়া)
- Suspicious PowerShell (EncodedCommand, AMSI bypass)
- Credential dumping (LSASS access, Mimikatz indicators)
- Lateral Movement (RDP/SMB brute, Pass-the-Hash)
- Persistence (Run Keys, Scheduled Tasks, WMI event filters)
3) SIEM Tools: Splunk · ELK (Elastic Security) · QRadar
SIEM IR-এর হৃদয়—লগ কালেকশন, করেলেশন, অ্যালার্টিং, ড্যাশবোর্ড। শুরুতে যেটা হাতে পান সেটা নিয়েই প্র্যাকটিস করুন।
Splunk (SPL) – কুয়েরি উদাহরণ
| tstats count from datamodel=Endpoint.Processes
where (Processes.process="*powershell*" OR Processes.process="*cmd.exe*")
by _time, host, Processes.user, Processes.parent_process, Processes.process
span=5m
Elastic (Kibana Query/KQL) – কুয়েরি উদাহরণ
process.name : "powershell.exe" and process.command_line : "*EncodedCommand*"
| sort @timestamp desc
QRadar (AQL) – কুয়েরি উদাহরণ
SELECT "sourceIP", "username", COUNT(*) as hits
FROM events
WHERE "eventName" ILIKE '%logon%' AND QID IN (SELECT QID FROM QIDMAP WHERE CATEGORY='Authentication')
GROUP BY "sourceIP","username" ORDER BY hits DESC LAST 24 HOURS
টিপস: ড্যাশবোর্ডে “Top talkers”, “Rare processes”, “Failed logons spike”, “New admin group members”—এমন ভিজুয়াল উইজেট রাখুন।
4) Memory & Log Analysis
Compromise নিশ্চিত করতে RAM ডাম্প ও ইভেন্ট লগ বিশ্লেষণ প্রয়োজন।
Memory (Volatility3) – কমান্ড উদাহরণ
# প্রোসেস লিস্ট
vol.py -f memdump.raw windows.pslist
# সন্দেহজনক DLL ইনজেকশন
vol.py -f memdump.raw windows.malfind
# নেটওয়ার্ক কানেকশন
vol.py -f memdump.raw windows.netscan
# LSASS ডাম্প আর্টিফ্যাক্ট/হ্যান্ডলস
vol.py -f memdump.raw windows.handles --pid <lsass_pid>
Windows Logs + Sysmon
# PowerShell (Event ID 4104), Script Block Logging
# Sysmon: Event ID 1 (Process Create), 3 (Network), 7 (Image Loaded), 10 (Process Access)
# উদাহরণ KQL (Elastic):
event.code : "1" and process.parent.name : "winword.exe" and process.name : "powershell.exe"
Linux Logs
# Auth logs
sudo tail -f /var/log/auth.log
# Auditd rules (ফাইল/সিস্টেম কল মনিটর)
sudo auditctl -w /etc/passwd -p wa -k passwd_changes
# Suspicious new SUID files
find / -perm -4000 -type f 2>/dev/null
৫) ৬ মাসের Suggested Timeline
- Month 1: IR Lifecycle, রিপোর্টিং, প্লেবুক
- Month 2–3: Threat Hunting + MITRE ATT&CK + ELK কুয়েরি
- Month 4–5: Splunk SPL + QRadar AQL বেসিক + ড্যাশবোর্ড
- Month 6: Volatility3 + Sysmon টিউনিং + Windows/Linux লগ ডিপ-ডাইভ
৬) Free Lab Setup (Home Lab)
কি লাগবে
- ১টি Host PC (16GB RAM সুপারিশকৃত)
- VirtualBox/VMware
- Windows VM (Sysmon ইনস্টল), Ubuntu VM (Elastic Stack)
স্টেপস
- Elastic Stack (Elasticsearch + Logstash + Kibana) সেটআপ
- Windows VM-এ Sysmon + Winlogbeat/Elastic Agent
- PowerShell আক্রমণ সিমুলেট করে ড্যাশবোর্ডে হান্ট
- Memdump সংগ্রহ করে Volatility3 বিশ্লেষণ
FAQ (দ্রুত উত্তর)
শুরুতে কোন লগ সোর্সগুলো নেব?
Windows Event Logs + Sysmon, Auth/SSH (Linux), Firewall/Proxy, DNS, Endpoint AV/EDR—এগুলো দিয়ে শুরু করুন।
কোন স্ক্রিপ্টিং দরকার হবে?
PowerShell (Windows automation), Python (পার্সিং, হান্টিং হেল্পার), Regex—এসব কাজে লাগবে।
কোথায় প্র্যাকটিস করবো?
Blue Team Labs Online, CyberDefenders, TryHackMe (IR/Hunt rooms), Splunk Boss of the SOC datasets ইত্যাদি।
CTA: আপনি চাইলে আমি আপনার জন্য ready-to-use Sysmon config, Elastic index pattern ও ১০টা স্টার্টার হান্ট কুয়েরি কাস্টমাইজ করে দিতে পারি—আপনার টার্গেট এনভায়রনমেন্ট (Windows/Linux mix) জানালেই!
