Laboratorio práctico de ciberseguridad: mini-SOC en AWS, analizador de IOC de CloudTrail, laboratorio de análisis de phishing, triaje de binarios ELF, habilidades de agente SOC
Proyectos prácticos de laboratorio de ciberseguridad: un mini-SOC en AWS, un analizador de IOC en Python y un laboratorio de análisis de phishing. Construido para demostrar habilidades de seguridad prácticas y verificables.
🔗 https://github.com/szzxli/soc-home-lab
📊 Habilidades cuantificadas: estos proyectos se evalúan contra una rúbrica pública y se mapean al marco NIST NICE en el repositorio complementario szzxli/soc-skills — incluyendo un perfil de habilidades de una página legible para RR. HH.
Todos los conjuntos de datos, muestras de logs y artefactos de correo electrónico en este repositorio son muestras de entrenamiento sintéticas — claramente etiquetadas como tales. Aquí no se presentan incidentes reales, logs reales ni correos de phishing reales.
Problema: Los analistas de SOC necesitan saber cómo se disparan realmente las detecciones en la nube — no solo la teoría. Qué es: Un stack de detección mínimo en AWS (VPC → CloudTrail → S3 → GuardDuty → SecurityHub), tres escenarios de emulación de adversarios usando Stratus Red Team (IDs de técnicas verificados), una guía de triaje y plantillas en blanco de informes de incidentes. Habilidades: Análisis de CloudTrail, triaje de GuardDuty, flujo de trabajo de respuesta a incidentes, Terraform IaC.
Problema: Los analistas de Tier-1 se ahogan en logs crudos de CloudTrail; heurísticas simples atrapan lo obviamente malicioso rápido. Qué es: Una herramienta CLI funcional que parsea JSON de CloudTrail, marca inicios de sesión anómalos / picos de inicios de sesión fallidos / cambios riesgosos de IAM, enriquece IPs vía AbuseIPDB y emite un informe en Markdown. Incluye datos de muestra sintéticos y una suite de pytest que pasa. Habilidades: Scripting en Python, análisis de logs, enriquecimiento de IOC, heurísticas de detección.
Problema: El triaje de phishing es trabajo diario de un SOC de Tier-1 — forense de cabeceras, interpretación de resultados de autenticación, desofuscación de URLs. Qué es: Un recorrido completo de un phish de muestra de entrenamiento reconstruido, una chuleta de análisis de cabeceras, una plantilla en blanco de informe de análisis y una guía de autoevaluación usando GoPhish (solo buzón propio). Habilidades: Forense de cabeceras de correo electrónico, SPF/DKIM/DMARC, análisis de URLs, triaje de phishing.
Problema: El morluto/rea número 1 en tendencias de esta semana expone más de 50 subcomandos orientados a agentes y Evidence JSON orientado a máquinas — potente, pero no amigable para humanos en triaje rápido.
Qué es: Una CLI de triaje de binarios ELF con un solo comando (triage.py <binary>) construida sobre la idea de REA: heurísticas de empaquetado por entropía de secciones, detección de W^X, lista de vigilancia de imports sospechosos, extracción de IOC de strings, veredicto basado en puntuación (benigno/sospechoso/malicioso) y un informe de analista de una página. Enriquecimiento opcional con inspect-binary-layout de REA cuando el proveedor está configurado; degrada honestamente sin él.
Habilidades: Análisis estático de binarios, internals de ELF, heurísticas de triaje de malware, ingeniería de detección.
Problema: El trending mattpocock/skills (291k estrellas) empaqueta el flujo de trabajo de agente de un ingeniero de TypeScript — nada en él habla de SOC.
Qué es: Cinco habilidades de agente para el bucle del analista de Tier-1, cada una destilada de un proyecto funcional en este repositorio: alert-triage, incident-report, cloudtrail-ioc, phishing-analysis, binary-triage. Cada habilidad declara su disparador, flujo de trabajo, contrato de salida y límites de honestidad. Licencia MIT, instalable copiando y pegando en el directorio de habilidades de cualquier agente.
Habilidades: Triaje de detección, documentación de incidentes, destilación de conocimiento en habilidades de agente.
morluto/rea, tendencia en GitHub): heurísticas estáticas (entropía de secciones, W^X, imports sospechosos, IOCs en cadenas), veredicto basado en puntuación, informe listo para el analista; enriquecimiento opcional mediante proveedor REA.mattpocock/skills.| Palabra clave de la descripción del puesto de analista SOC | Cubierto en |
|---|---|
| SIEM / análisis de logs | 01 (CloudTrail, GuardDuty), 02 (análisis de logs) |
| Respuesta a incidentes y triaje | 01 (guía de triaje, plantillas de IR) |
| Detección de amenazas / IOCs | 02 (heurísticas, enriquecimiento con AbuseIPDB), 03 (extracción de IOCs) |
| Análisis de phishing | 03 (recorrido completo + cheatsheet) |
| Seguridad en la nube (AWS) | 01 (VPC, IAM, S3, GuardDuty, SecurityHub) |
| Scripting / automatización (Python) | 02 (herramienta CLI + tests) |
| IaC (Terraform) | 01 (terraform/main.tf) |
| Documentación e informes | 01 + 03 (plantillas, write-ups) |
terraform destroy al terminar — no dejes los detectores en ejecución sin supervisión.