36、基于数字孪生的SOC分析师网络靶场培训系统

基于数字孪生的SOC分析师网络靶场培训系统

1. 网络靶场系统概述

网络靶场通过模拟来实现和反映网络场景。模拟所需的数据通过相应接口提供，并由访问控制功能保护。虚拟环境一方面模拟工业系统，另一方面进行对工业系统有害的模拟攻击，从而重现规划的培训场景，引导学员完成多个类似操作手册的培训单元。在这个过程中，模拟的工业系统会产生记录其运行情况的日志数据，并提供指向攻击场景的线索。

2. 系统组成模块

• SOC构建模块 ：提供了一个SIEM系统，这是学员实际交互的点。SIEM代表了学员所接受培训的系统，理想情况下也是学员所在组织实际使用的系统，确保学员学习使用尽可能接近真实甚至相同的SIEM系统。工业系统的日志数据会被输入到SIEM中，学员首先与SIEM交互，根据可用数据手动分析和检测模拟攻击，然后可以创建自动检测攻击的关联规则。
• 学习管理系统（LMS） ：为学员提供额外的学习材料并介绍场景，这些信息可以以视频或简单文本描述等多种形式呈现。例如，提供了SIEM系统的功能和SIEM规则结构的介绍，还给出攻击提示以帮助学员开始使用SIEM。这些材料由培训师准备并包含在LMS中，供学员在培训过程中访问。
• 管理与监控构建模块 ：培训师可以通过该模块监督学员的培训进度，还能配置工业系统的模拟，并根据培训进度自动触发攻击模拟。

3. 场景与学习概念

• 场景设定 ：网络靶场所代表的场景是基于工业控制系统（ICS）的灌装厂