Laboratoire d'automatisation SOC

Ce dépôt documente la conception, la logique de détection, les workflows d'automatisation et les leçons tirées de la construction d'une démo SOC automatisée utilisant des outils open-source.

Le projet se concentre sur la façon dont les alertes passent de la détection à l'investigation et à la notification, et sur ce qui se casse en cours de route.

Ce n'est pas un déploiement prêt pour la production. C'est un laboratoire d'apprentissage et de référence.

---

Aperçu de l'architecture

Flux :

1. MITRE Caldera simule une activité d'attaquant
2. Wazuh détecte le comportement sur un endpoint Linux
3. N8N enrichit les alertes et automatise la notification et le ticketing
4. Velociraptor valide l'activité pour une confiance forensique

Détection → Enrichissement → Notification → Validation

---

Outils utilisés

• Wazuh (SIEM / détection)
• N8N (automatisation / workflows de type SOAR)
• MITRE Caldera (simulation d'attaque)
• Velociraptor (validation forensique)

---

Ce que contient ce dépôt

• Logique de détection et seuils
• Flux de décision d'automatisation
• Contexte de simulation d'attaque
• Requêtes de validation forensique
• Leçons opérationnelles et pièges
• Considérations sur les faux positifs et le bruit

---

Articles Medium

Ce dépôt accompagne les articles suivants :

• Un senior m'a défié de construire une démo SOC automatisée. Voici ce que j'ai construit.
• L'intégration Wazuh + N8N a failli avoir ma peau — mais abandonner n'était pas une option

---

Avis de non-responsabilité

Toutes les configurations sont simplifiées et anonymisées. Aucun secret, clé API ou fichier prêt pour la production n'est inclus.