SOC Automation Lab

Dieses Repository dokumentiert das Design, die Erkennungslogik, die Automatisierungs-Workflows und die gewonnenen Erkenntnisse aus dem Aufbau einer automatisierten SOC-Demo mit Open-Source-Tools.

Das Projekt konzentriert sich darauf, wie Alarme von der Erkennung über die Untersuchung bis zur Benachrichtigung gelangen und was dabei schiefgehen kann.

Dies ist keine produktionsreife Bereitstellung. Es ist ein Lern- und Referenzlabor.

---

Architekturübersicht

Ablauf:

1. MITRE Caldera simuliert Angreiferaktivitäten
2. Wazuh erkennt das Verhalten auf einem Linux-Endpunkt
3. N8N reichert Alarme an und automatisiert Benachrichtigungen und Ticketing
4. Velociraptor validiert die Aktivität für forensische Sicherheit

Erkennung → Anreicherung → Benachrichtigung → Validierung

---

Verwendete Tools

• Wazuh (SIEM / Erkennung)
• N8N (Automatisierung / SOAR-artige Workflows)
• MITRE Caldera (Angriffssimulation)
• Velociraptor (forensische Validierung)

---

Was dieses Repository enthält

• Erkennungslogik und Schwellenwerte
• Automatisierungs-Entscheidungsablauf
• Kontext der Angriffssimulation
• Forensische Validierungsabfragen
• Betriebliche Erkenntnisse und Fallstricke
• Überlegungen zu Fehlalarmen und Rauschen

---

Medium-Artikel

Dieses Repository begleitet die folgenden Artikel:

• Ein Senior forderte mich heraus, eine automatisierte SOC-Demo zu bauen. Hier ist, was ich gebaut habe.
• Wazuh + N8N Integration hat mich fast besiegt — aber Aufgeben war keine Option

---

Haftungsausschluss

Alle Konfigurationen sind vereinfacht und bereinigt. Es sind keine Geheimnisse, API-Schlüssel oder produktionsreife Dateien enthalten.