Kompletna ścieżka Blue Team od triage’u, telemetrii, SIEM i detekcji przez reagowanie, forensics i threat hunting po chmurę, OT/ICS i bezpieczeństwo AI. Wiedza opiera się na rozwiązanych scenariuszach, a każdy moduł kończy test wiedzy.
Od pierwszego alertu do obronionej decyzji: poznasz rolę SOC, granice odpowiedzialności, pętlę analityka, mapę ludzi i danych, eskalację, handoff, poufność oraz mierniki jakości. Każde narzędzie pojawia się po pytaniu analitycznym i ma objaśniony przykład polecenia Linux. Moduł kończy test wiedzy bez pobierania plików i bez obowiązkowego laboratorium.
Mapa środowiska widziana przez ślady: aktywa i tożsamości, procesy, usługi, pliki, połączenia, DNS, HTTP, TLS, zdalne zarządzanie, katalog oraz control plane chmury. Każda lekcja pyta, gdzie powstaje telemetria, czego nie pokazuje i jak czytać ją bez nadinterpretacji.
Od surowego rekordu do obronionego wniosku: anatomia logu, encje, identyfikatory, czas, pochodzenie, integralność, korelacja, retencja oraz luki w danych. Moduł pokazuje, dlaczego alert nie jest incydentem, a cisza w logach nie dowodzi braku aktywności.
Pełny cykl Incident Response zgodny z NIST CSF 2.0 i SP 800-61r3: przygotowanie, intake, analiza, scope, containment, eradication, recovery, komunikacja i lessons learned. Jeden zamknięty przypadek Helios pokazuje role decyzyjne, bezpieczne działania oraz warunki przejścia między etapami.
Operacyjny rdzeń L1: od kontroli jakości alertu przez klasyfikację, kontekst użytkownika i aktywa, severity, priority oraz confidence aż do szybkich pivotów, eskalacji, closure codes i feedbacku do detekcji. Finał prowadzi przez kolejkę pięciu alertów wymagających różnych decyzji.
Model Windows Event Log czytany przez provider, kanał, Event ID, Record ID i XML. Sesje logowania, procesy, tokeny, konta, grupy, usługi, zadania, polityki oraz Windows Event Forwarding są analizowane jako zachowania zależne od konfiguracji audytu, nie lista numerów do wykucia.
Sysmon jako konfigurowalny sensor, nie system wydający werdykt. Process GUID, drzewa procesów, połączenia sieciowe, pliki, rejestr, obrazy, sterowniki i dostęp do procesu są łączone w narrację z uwzględnieniem filtrów, kosztu zbierania, utraty eventów oraz sensor health.
PowerShell, cmd i WSH jako legalne narzędzia oraz możliwe elementy łańcucha ataku. Moduł łączy 4688, Sysmon Event 1, PowerShell 4103/4104, ochronę treści logów, parent-child, sieć i kontekst automatyzacji bez uznawania kodowania lub obfuskacji za automatyczny dowód zagrożenia.
Persystencja, dostęp do materiału poświadczeń i ruch boczny analizowane jako sekwencja procesów, plików, rejestru, usług, zadań, logowań i sieci. Moduł pokazuje scoping wielu hostów oraz prekursory ransomware bez instrukcji dumpowania poświadczeń lub przejmowania systemów.
Domena jako control plane tożsamości: Kerberos, NTLM, spraying, konta, grupy, GPO, ACL, delegacja, AD CS i replikacja. Event ID pozostaje punktem wejścia, a decyzja powstaje z podmiotu, celu, operacji, źródła, czasu, polityki audytu i baseline.
Od punktu obserwacji i jakości capture przez pakiety, flow, DNS, HTTP, TLS i SMB aż po beaconing oraz ocenę możliwego Command & Control. Wireshark/TShark i Zeek służą do odpowiadania na pytania, a nie do polowania na magiczne filtry; szyfrowanie i luki telemetrii są jawnie uwzględnione.
SIEM jako system pytań, danych i decyzji. Moduł prowadzi od kontraktu danych i wyszukiwania przez normalizację, agregacje, baseline, joiny, korelacje oraz dashboardy do kosztu, wydajności i jakości detekcji, porównując wzorce ES|QL, KQL i SPL.
Proaktywne szukanie aktywności, której nie rozpoczął alert: hipoteza, zakres, MITRE ATT&CK, IOC i zachowania, gotowość danych, pivoty, wyniki negatywne oraz przekazanie odkrycia do detekcji i Incident Response. Finał pokazuje kompletny hunt Helios bez dopasowywania historii po fakcie.
Od zachowania i wymagań danych do utrzymywalnej detekcji. Moduł wyjaśnia anatomię i warunki Sigma, translację przez backendy i pipeline, bezpieczne reguły YARA, testy pozytywne i negatywne, tuning, wersjonowanie oraz mierniki jakości na kompletnym pakiecie Helios.
Dochodzenie łączące warstwę wiadomości, uwierzytelnienie domeny, bezpieczny triage URL-i i załączników, reguły skrzynki, logowania, tokeny i zgody OAuth. Moduł oddziela treść przynęty od dowodów technicznych oraz prowadzi przez scoping, containment i komunikację.
Skoordynowana odpowiedź od deklaracji i bezpiecznego containment przez triage endpointu, prekursory ransomware, scoping wielu hostów i tożsamości, ochronę dowodów, eradication oraz walidację recovery. Finał rozdziela fakty, decyzje, komunikację i warunki zamknięcia incydentu.
Od pytania forensic i kolejności utraty danych przez pozyskanie, integralność, metadane systemu plików, artefakty Windows i pamięć aż do obronionej rekonstrukcji. Moduł uczy odróżniać ślad od interpretacji oraz dokumentować ograniczenia, chain of custody i wynik negatywny.
Control plane, tożsamość i API jako główna oś dochodzenia cloud. Moduł porównuje CloudTrail, Azure Activity Log, Microsoft Entra i Google Cloud Audit Logs, analizuje zmiany uprawnień, dostęp do danych, workload identities, klucze, cross-account oraz bezpieczny containment i recovery.
Od wyboru dobrego kandydata do automatyzacji przez kontrakt playbooka, enrichment, idempotency, retry, deduplikację i bramki człowieka po sekrety, audyt, rollback oraz mierniki. Finał pokazuje playbook Helios, który przyspiesza triage bez automatyzowania niepewnego werdyktu.
Telemetria hosta Linux od journald i uwierzytelniania przez procesy, systemd, cron, Linux Audit, integralność plików, sockety i kontrolę uprawnień aż do bezpiecznej odpowiedzi na incydent. Finał rekonstruuje włamanie SSH w środowisku Helios bez utożsamiania pojedynczego śladu z werdyktem.
Obrona od obrazu i workloadu po API server, RBAC, audit events, runtime, sieć, service accounts, sekrety i admission control. Moduł uczy korelować krótkotrwałą tożsamość poda z control plane oraz planować response bez niszczenia dowodów i bez mylenia restartu z usunięciem przyczyny.
CTI jako proces odpowiadania na wymagania decyzyjne, a nie kolekcja wskaźników. Moduł obejmuje cykl wywiadowczy, ocenę źródeł, confidence, bias, cykl życia IOC, TTP, STIX/TAXII, TLP 2.0, prywatność, operacjonalizację i pomiar wartości dla SOC.
Bezpieczna analiza od pytania i provenance próbki przez hash, format pliku, strings, importy i raport sandbox po ograniczenia packerów, ekstrakcję IOC/TTP, reguły YARA i response. Moduł nie uruchamia próbek — uczy obronionej oceny na statycznych artefaktach i przygotowanych raportach zachowania.
Od wiarygodnego inwentarza i dopasowania produktu przez CVE, CWE, advisories i CVSS 4.0 po EPSS, CISA KEV, reachability, kontrolę kompensującą, SLA, wyjątki i weryfikację naprawy. Priorytet wynika z realnej ekspozycji i wpływu, nie z samego wyniku skanera.
Kontrolowana walidacja od pytania i threat-informed test planu przez autoryzację, guardrails, drogę telemetrii, logikę analityczną i evidence matrix po analizę false negative, regresję oraz pokrycie. Purple Team jest wspólną pętlą uczenia, nie pokazem narzędzi ofensywnych.
Od wymagania detekcyjnego i kontraktu danych przez onboarding źródła, transport, buforowanie, parsowanie, normalizację OCSF/OTel, czas i enrichment po SLO jakości, retencję, koszt, prywatność oraz bezpieczne zmiany schematu. Moduł pokazuje, jak dowodzić kompletności pipeline'u zamiast ufać samemu statusowi agenta.
Obrona aplikacji od mapy telemetrii edge–proxy–aplikacja–tożsamość–dane przez korelację requestów, nadużycia logowania i sesji, BOLA oraz logikę biznesową po sygnały injection, uploadu, SSRF, automatyzacji i wyczerpania zasobów. Response chroni usługę i dowody bez uznawania każdego alertu WAF za incydent.
Dochodzenie dotyczące utraty danych od pytania o chronione informacje i potencjalną szkodę przez klasyfikację, uprawnienia, staging, kanały sieciowe, chmurę, nośniki, e-mail i druk po privacy-aware insider risk, containment oraz współpracę z prawnikiem i HR. Zachowanie jest sygnałem do sprawdzenia, nie dowodem intencji człowieka.
Od mapy zaufania kod–build–artefakt–wdrożenie przez repozytoria, tożsamości CI/CD, runner telemetry, zależności, SBOM, provenance i podpisy po kompromitację registry, sekretów oraz build runnera. Response odtwarza zaufany łańcuch i dowodzi pochodzenia nowego artefaktu zamiast tylko ponownie uruchamiać pipeline.
Obrona systemów cyberfizycznych z bezpieczeństwem procesu na pierwszym miejscu: authority model, inwentarz, zones and conduits, pasywna telemetria protokołów, HMI, engineering workstation, historian, remote access i korelacja procesu. Containment oraz recovery są uzgadniane z operatorem i inżynierem, nigdy narzucane z IT SOC.
Monitoring systemu AI jako pełnego dataflow: model, dane, retrieval, prompt, policy, narzędzia, pamięć i akcje. Moduł obejmuje privacy-aware observability, prompt injection, excessive agency, supply chain modeli, poisoning RAG, wyciek danych i response. Treść modelu jest niezaufanym sygnałem, a autoryzację wykonuje deterministyczna kontrola poza modelem.
Finał ścieżki łączy mandat i katalog usług SOC, ownership kontroli, QA spraw, mierniki wartości, handover, capacity i wellbeing z major incident command, komunikacją, tabletop oraz continuous improvement. Przekrojowy capstone Helios wymaga jednej osi czasu, jawnych poziomów pewności i decyzji biznesowej obejmującej IT, cloud, OT, supply chain i AI.
