PowerShell dla Zespołów SOC Odróżnij administrację od ataku — raz na zawsze
Twój SIEM tonie w fałszywych alertach. Analitycy tracą czas na rutynowe skrypty admina, podczas gdy prawdziwy atak prześlizguje się przez luki. Ten warsztat to koniec z tym.
Dlaczego Twój SOC
traci wojnę z PowerShell?
Alert Fatigue zabija czujność
Setki alertów dziennie, z czego 80% to legalna administracja. Analitycy uczą się je ignorować – i przeoczają ten jeden, który ma znaczenie.
Obfuskacja jest niewidoczna gołym okiem
EncodedCommand, string concatenation, character replacement – atakujący mają dziesiątki technik ukrywania intencji. Czy Twój zespół je wszystkie zna?
MTTD rośnie, MTTR też
Brak kontekstu (kto? skąd? z jakim procesem nadrzędnym?) sprawia, że klasyfikacja jednego incydentu zajmuje godziny zamiast minut.
Reguły SIEM nie nadążają
Kopiowane ze Stack Overflow reguły generują lawinę false positives. Bez zrozumienia mechanizmów, nie można pisać skutecznych detections.
To nie jest kolejny
kurs z YouTube
Mniej false positives.
Więcej prawdziwych alertów.
Uczymy filtrować szum administracyjny na poziomie kontekstu, nie tylko komendy. Po 2 dniach Twój zespół wie, czego szukać — i czego nie alarmować.
Realne datasety.
Realne ataki.
Żadnych wymyślonych scenariuszy. Uczestnicy analizują logi z autentycznych incydentów — ataków ransomware, APT, red team exercises.
Każda technika.
Pełne mapowanie.
T1059.001, T1027, T1105 — każda omawiana technika jest mapowana na framework MITRE, co przekłada się bezpośrednio na lepsze raporty i strategie obronne.
Wychodzisz z gotowymi
regułami do SIEM.
Nie tylko wiedza — praktyczne reguły alertowania dla Splunk, Sentinel, Elastic i Wazuh, które możesz wdrożyć następnego dnia po powrocie do pracy.
2 Dni.
8 Modułów. Zero Bullshitu.
Ekosystem PowerShell
Dlaczego PS jest kluczowym narzędziem atakujących? Windows PowerShell vs. PS Core, execution policy bypassy, środowisko wykonawcze.
LoLBins FundamentalsTelemetria i Konfiguracja
Script Block Logging, Module Logging, Transcription. Event ID 4103 vs 4104 — różnice, co rejestrują i jak nie dać się ominąć.
EventID 4103 / 4104Wzorce Administracyjne
Jak wygląda „normalne” zarządzanie AD, usługami i politykami GPO? Budowanie baseline’u — fundamentu dla każdej detekcji.
Baseline & ContextLaboratorium #1
Analiza zestawu logów — oddzielenie administracji od podejrzanej aktywności. Praca na autentycznym datasecie z środowisk korporacyjnych.
Hands-on Dataset ATechniki Atakujących
EncodedCommand, download cradles, in-memory execution. Jak działają obejścia AMSI i jak je wykryć w logach.
T1059.001 · T1027 · T1105Analiza Kontekstu
Kto uruchomił skrypt? Skąd? Jaki proces nadrzędny? Metodyka analizy kontekstu, która skraca MTTD o 60%.
Parent Process · User ContextMITRE ATT&CK Mapping
Praktyczne mapowanie obserwowanej aktywności na macierz MITRE. Budowanie threat intel i jakość raportowania incydentów.
T1059 · T1027 · TA0002Detection Engineering
Pisanie skutecznych reguł SIEM: Splunk SPL, KQL (Sentinel), Elastic EQL. Unikanie false positives przez precyzyjne warunki i wyjątki.
SPL · KQL · EQL · SigmaUczą praktycy.
Nie akademicy.
Pietrzak
Ponad dekada w środowiskach Windows Enterprise. Specjalizuje się w analizie złośliwej aktywności PowerShell, tworzeniu narzędzi do ofensywnych testów bezpieczeństwa oraz budowaniu systemów detekcji. Prowadził analizę incydentów dla instytucji finansowych i sektora energetycznego.
Kamiński
Security Engineer z doświadczeniem w budowaniu i optymalizacji platform SIEM dla organizacji z listy Fortune 500. Ekspert od detection engineering, tworzenia reguł korelacji i threat hunting. Certyfikowany w Splunk, Microsoft Sentinel i Elastic Security.
Warsztat stworzony
dla konkretnych ról
Analitycy SOC L1/L2
Codziennie zmagasz się z PowerShell alerts. Po warsztacie klasyfikujesz je w minuty, nie godziny.
Inżynierowie SIEM
Splunk, Sentinel, Elastic, QRadar, Wazuh — wychodzisz z gotowymi regułami i metodologią ich pisania.
Threat Detection / CSIRT
Zrozum pełny łańcuch — od techniki atakującego po sygnaturę w SIEM. Buduj lepsze playbooki.
Podstawowa znajomość środowiska Windows i logów bezpieczeństwa. Warsztat nie wymaga zaawansowanej wiedzy o PowerShell — ta przyjdzie w trakcie 2 dni.
Konkretne wyniki.
Mierzalne zmiany.
Gotowe reguły detekcji
Zestaw production-ready reguł dla Splunk, Sentinel, Elastic i Wazuh. Wdrażasz następnego dnia.
Dataset logów + workbook
Pełny materiał ćwiczeniowy z realnymi atakami do dalszej analizy i szkolenia własnych zespołów.
Metodyka analizy kontekstu
Ustrukturyzowany framework do szybkiej klasyfikacji podejrzanej aktywności PowerShell.
MITRE ATT&CK cheat sheet
Gotowe mapowanie technik PowerShell na macierz MITRE — dla raportów i komunikacji z zarządem.
Co dostajesz w pakiecie
Workbook PDF
Kompleksowy materiał szkoleniowy z notesem do ćwiczeń, referencjami i cheat sheets gotowymi do wydruku.
Dataset logów
Autentyczne logi z realnych incydentów — ransomware, APT, red team. Gotowe do załadowania do własnego SIEM.
Zestaw reguł detekcji
Production-ready reguły dla 5 platform SIEM. SPL, KQL, EQL i format Sigma — gotowe do wdrożenia.
MITRE Mapping
Pełne mapowanie technik PowerShell na ATT&CK Navigator. Gotowe do importu i prezentacji dla stakeholderów.
Certyfikat ukończenia
Personalny certyfikat potwierdzający udział w warsztacie dla każdego uczestnika. Idealne do profilu LinkedIn.
30 dni wsparcia post-szkoleniowego
Dostęp do kanału Slack z trenerami przez miesiąc po warsztacie. Pytaj o realne incydenty ze swojego środowiska.
Formuła zamknięta.
Dostosowana do Twojego zespołu.
Wersja intensywna · 8h
- Moduły 1–4 + Lab #1
- Fundamenty telemetrii i techniki atakujących
- Dataset logów + workbook
- Zestaw reguł detekcji (basic)
- Certyfikaty uczestnictwa
- 14 dni wsparcia online
- Formuła: stacjonarna lub online (zamknięta)
Wersja zaawansowana · 16h
- Pełne 8 modułów + 2 Labs
- Kompleksowy program od telemetrii do detection engineering
- Pełny dataset + workbook premium
- Kompletny zestaw reguł SIEM (5 platform)
- MITRE ATT&CK Navigator export
- Certyfikaty uczestnictwa
- 30 dni wsparcia Slack z trenerami
- Formuła: stacjonarna lub online (zamknięta)
Prowadzimy warsztaty bezpośrednio dla Twojego zespołu — w Waszej siedzibie lub zdalnie. Program możemy dostosować do specyfiki Waszego środowiska technicznego i aktualnych wyzwań. Skontaktuj się po indywidualną wycenę.
Zatrzymaj następny atak.
Zanim to zrobi SOC obok.
Warsztat jest prowadzony w formule zamkniętej. Liczba miejsc ograniczona do zapewnienia najwyższej jakości hands-on experience.