soc-home-lab

Praktische Cybersecurity-Lab-Projekte: ein Mini-SOC auf AWS, ein Python-IOC-Analyzer und ein Phishing-Analyse-Lab. Entwickelt, um verifizierbare, praktische Sicherheitsfähigkeiten zu demonstrieren.

🔗 https://github.com/szzxli/soc-home-lab

📊 Quantifizierte Fähigkeiten: Diese Projekte werden anhand einer öffentlichen Bewertungsmatrix benotet und im Begleit-Repo szzxli/soc-skills auf das NIST-NICE-Framework abgebildet — einschließlich eines einseitigen, HR-lesbaren Fähigkeitsprofils.

Alle Datensätze, Log-Beispiele und E-Mail-Artefakte in diesem Repo sind synthetische Trainingsbeispiele — klar als solche gekennzeichnet. Es werden hier keine echten Vorfälle, echten Logs oder echten Phishing-E-Mails präsentiert.

Projekte

01 — mini-soc

Problem: SOC-Analysten müssen wissen, wie Cloud-Erkennungen tatsächlich ausgelöst werden — nicht nur die Theorie. Was es ist: Ein minimaler AWS-Erkennungs-Stack (VPC → CloudTrail → S3 → GuardDuty → SecurityHub), drei Adversary-Emulation-Szenarien mit Stratus Red Team (verifizierte Technique-IDs), ein Triage-Leitfaden und leere Vorlagen für Incident-Reports. Fähigkeiten: CloudTrail-Analyse, GuardDuty-Triage, Incident-Response-Workflow, Terraform IaC.

02 — python-ioc-analyzer

Problem: Tier-1-Analysten ertrinken in rohen CloudTrail-Logs; einfache Heuristiken erkennen das offensichtlich Böse schnell. Was es ist: Ein funktionierendes CLI-Tool, das CloudTrail-JSON parst, anomalie Logins / Fehlanmeldungs-Spitzen / riskante IAM-Änderungen markiert, IPs über AbuseIPDB anreichert und einen Markdown-Report ausgibt. Wird mit synthetischen Beispieldaten und einer bestandenen pytest-Suite geliefert. Fähigkeiten: Python-Skripting, Log-Analyse, IOC-Anreicherung, Erkennungsheuristiken.

03 — phishing-analysis-lab

Problem: Phishing-Triage ist tägliche Tier-1-SOC-Arbeit — Header-Forensik, Interpretation von Auth-Ergebnissen, URL-Deobfuskierung. Was es ist: Ein vollständiger Walkthrough eines rekonstruierten Phish aus Trainingsbeispielen, ein Cheatsheet zur Header-Analyse, eine leere Vorlage für den Analyse-Report und ein Selbsttest-Leitfaden mit GoPhish (nur eigene Mailbox). Fähigkeiten: E-Mail-Header-Forensik, SPF/DKIM/DMARC, URL-Analyse, Phishing-Triage.

04 — rea-triage

Problem: Das diese Woche auf Platz 1 der Trends stehende morluto/rea stellt über 50 agentenorientierte Subcommands und maschinenorientiertes Evidence-JSON bereit — mächtig, aber nicht menschenfreundlich für schnelle Triage. Was es ist: Ein Ein-Befehl-ELF-Binary-Triage-CLI (triage.py <binary>), gebaut auf der REA-Idee: Section-Entropy-Packing-Heuristiken, W^X-Erkennung, Watchlist verdächtiger Imports, String-IOC-Extraktion, score-basiertes Urteil (benign/suspicious/malicious) und ein einseitiger Analysten-Report. Optionale REA-inspect-binary-layout-Anreicherung, wenn der Provider konfiguriert ist; degradiert ehrlich ohne ihn. Fähigkeiten: Statische Binary-Analyse, ELF-Interna, Malware-Triage-Heuristiken, Detection Engineering.

05 — soc-skills

Problem: Das trendende mattpocock/skills (291k Stars) paketiert den Agent-Workflow eines TypeScript-Engineers — nichts darin spricht SOC. Was es ist: Fünf Agent-Skills für die Tier-1-Analysten-Schleife, jede destilliert aus einem funktionierenden Projekt in diesem Repo: alert-triage, incident-report, cloudtrail-ioc, phishing-analysis, binary-triage. Jede Skill deklariert ihren Trigger, Workflow, Output-Vertrag und Ehrlichkeitsgrenzen. MIT-lizenziert, copy-paste-installierbar in das Skills-Verzeichnis jedes Agents. Fähigkeiten: Detection-Triage, Incident-Dokumentation, Wissensdestillation in Agent-Skills.

Resume-Bullets (copy-ready)

• Aufbau eines Mini-SOC auf AWS (CloudTrail, GuardDuty, SecurityHub via Terraform); Emulation von Adversary-Techniken mit Stratus Red Team und Erstellung von Triage-Runbooks für GuardDuty-Findings.
• Entwicklung eines Python-CLI-Tools, das CloudTrail-Logs parst, Detection-Heuristiken anwendet (Impossible-Travel-Logins, Brute-Force-Spitzen, riskante IAM-Änderungen) und IOCs über AbuseIPDB anreichert — mit synthetischen Testdaten und einer erfolgreichen pytest-Suite.
• Durchführung strukturierter Phishing-E-Mail-Analysen (Header-Forensik, SPF/DKIM/DMARC-Interpretation, URL-Deobfuskierung, IOC-Extraktion) anhand rekonstruierter Trainingsbeispiele; Dokumentation von Tier-1-Response-Verfahren.
• Entwicklung eines Ein-Befehl-ELF-Binary-Triage-Tools (inspiriert von morluto/rea): statische Heuristiken (Section-Entropie, W^X, verdächtige Imports, String-IOCs), score-basiertes Urteil, analystentauglicher Report; optionale REA-Provider-Anreicherung.
• Erstellung von fünf MIT-lizenzierten Agent-Skills für SOC-Analysten (Alert-Triage, Incident-Reporting, CloudTrail-IOC-Analyse, Phishing-Analyse, Binary-Triage), destilliert aus funktionierenden Home-Lab-Projekten — die security-flavored Antwort auf mattpocock/skills.
• Erstellung von Incident-Report-Vorlagen und Detection-Triage-Guides nach SOC-Dokumentationsstandards.

Skills-Matrix

SOC-Analyst-JD-Schlüsselwort	Abgedeckt in
SIEM / Log-Analyse	01 (CloudTrail, GuardDuty), 02 (Log-Parsing)
Incident Response & Triage	01 (Triage-Guide, IR-Vorlagen)
Threat Detection / IOCs	02 (Heuristiken, AbuseIPDB-Anreicherung), 03 (IOC-Extraktion)
Phishing-Analyse	03 (vollständiger Walkthrough + Cheatsheet)
Cloud-Security (AWS)	01 (VPC, IAM, S3, GuardDuty, SecurityHub)
Scripting / Automatisierung (Python)	02 (CLI-Tool + Tests)
IaC (Terraform)	01 (terraform/main.tf)
Dokumentation & Reporting	01 + 03 (Vorlagen, Write-ups)

Kosten & Cleanup

• Projekt 01 benötigt ein eigenes AWS-Konto; geschätzte 5–15 $/Monat bei minimaler Konfiguration. Führe terraform destroy aus, wenn du fertig bist — lass Detektoren nicht unbeaufsichtigt laufen.
• Projekte 02 und 03 sind kostenlos (nur lokal, plus optionaler kostenloser AbuseIPDB-API-Schlüssel).