Módulo 1 — Fundamentos de SIEM/XDR e Arquitetura Wazuh

• Visão moderna de SIEM e XDR
• Conceitos de detecção, resposta e correlação
• Arquitetura Wazuh (Indexer, Manager, Dashboard)
• Integração conceitual com operações de segurança
• Introdução ao MITRE ATT&CK e ao mapeamento de técnicas para regras do Wazuh

Módulo 2 — Instalação e Estrutura Operacional

• Instalação completa do ambiente (All-in-One)
• Configuração de agentes para Windows e Linux
• Atribuição de políticas, rótulos e grupos
• Preparação do ambiente para operações de SOC
• Integração com telemetria de sistema (Sysmon, eventos de segurança, logs de aplicações)

Módulo 3 — Coleta, Normalização e Qualidade dos Logs

• Wazuh como Syslog Server
• Uso de Syslog Relay em topologias distribuídas
• Pipeline de normalização (decodificação → enriquecimento → regra)
• Análise do arquivo archives como ferramenta de melhoria contínua
• Identificação e resolução de logs não decodificados
• Melhores práticas de governança e cobertura de logs

Módulo 4 — Criação de Decoders e Regras Personalizadas

• Anatomia do decoder
• Criação prática de decoders simples e compostos
• Estrutura de regras, níveis, grupos e condições
• Mapeamento de detecções ao MITRE ATT&CK
• Criação de alertas comportamentais
• Prática: criação de regra completa orientada à técnica MITRE

Módulo 5 — Threat Hunting no Wazuh

• Metodologias de Hunting: IOC-driven, Behavior-driven e Pattern-driven
• Organização de hipóteses de investigação
• Uso de consultas no OpenSearch para investigações
• Caça a anomalias operacionais e de segurança
• Práticas: SQL Injection, brute force, execuções suspeitas
• Integração com DFIR: obtenção, preservação e análise inicial de artefatos

Módulo 6 — Monitoramento Avançado (Sysmon, FIM e Telemetria de Host)

• Sysmon e telemetria avançada
• Eventos críticos para SOC e DFIR
• File Integrity Monitoring (FIM)
• Correlação de host + rede + comportamento
• Prática: identificar padrões maliciosos e anomalias

Módulo 7 — Detecção com Suricata e Yara

• Criação de assinaturas Suricata
• Integração e correlação com Wazuh
• Criação de regras Yara e análise estática
• Práticas de detecção e correlação

Módulo 8 — Active Response e Automação Essencial

• Lógica de Active Response
• Construção de ações reativas
• Critérios para resposta automática
• Prática: resposta automática a intrusão simulada

Módulo 9 — Integração com SOAR na Prática (sem citar ferramentas)

• Conceito moderno de automação em SOC
• Fluxo de decisão: Wazuh → Orquestração → Ação
• Normalização, enriquecimento e classificação de eventos
• Correlação com monitoramento operacional
• Uso de IA para priorização e redução de falsos positivos
• Automação orientada a MITRE ATT&CK e DFIR
• Prática: fluxo completo de detecção → enriquecimento → recomendação → ação

Módulo 10 — Dashboards, Métricas e Visões Executivas

• Dashboards operacionais e analíticos
• Painel MITRE ATT&CK
• Indicadores SOC (EPS, densidade de alertas, risco)
• Detecção de anomalias via OpenSearch
• Relatórios executivos

Fundamentos de SIEM e XDR

• Compreensão dos conceitos de SIEM e XDR.
• Importância do monitoramento contínuo e resposta a incidentes.
• Noções sobre conformidade com regulamentações e legislações.

Instalação e Configuração do Wazuh

• Instalação do Wazuh Indexer, Manager e Dashboard.
• Configuração do Wazuh agent em diferentes ambientes (Linux e Windows).
• Habilitação e exploração de configurações dos agentes.

Coleta e Análise de Logs

• Configuração de agentes para a coleta de logs em sistemas operacionais Linux e Windows.
• Coleta de logs sem agentes via Syslog e configuração de Syslog Relay para localidades remotas.

Criação de Decoders e Regras Personalizadas

• Entendimento da estrutura de decoders e regras no Wazuh.
• Criação de decoders e regras personalizadas para análise de logs e detecção de ameaças específicas.

Detecção de Ameaças e Monitoramento de Segurança

• Configuração de regras de IDS/IPS para detecção de ameaças.
• Implementação de monitoramento de integridade de arquivos (FIM) no Wazuh.
• Integração do Wazuh com ferramentas como Suricata e Yara para detecção de padrões de malware.

Configuração de Alertas e Notificações

• Criação de alertas customizados.
• Configuração de notificações via Slack e e-mail (SMTP).
• Automatização de alertas críticos para resposta a incidentes.

Automação de Resposta a Incidentes

• Automação de respostas usando firewalld e iptables.
• Criação de scripts de resposta automática para bloqueio de IPs maliciosos.
• Simulação de ataques e teste de resposta automática configurada.

Criação de Dashboards e Visualização de Dados no Opensearch

• Criação de dashboards customizados no Opensearch.
• Configuração de relatórios e alertas automatizados.
• Utilização de plugins para visualizações e análises avançadas no Opensearch.