Lab de cybersécurité pratique : mini-SOC sur AWS, analyseur d'IOC CloudTrail, lab d'analyse de phishing, triage de binaires ELF, compétences d'agent SOC
Projets pratiques de laboratoire en cybersécurité : un mini-SOC sur AWS, un analyseur d'IOC en Python et un laboratoire d'analyse de phishing. Conçus pour démontrer des compétences en sécurité vérifiables et pratiques.
🔗 https://github.com/szzxli/soc-home-lab
📊 Compétences quantifiées : ces projets sont évalués selon une grille publique et mappés au framework NIST NICE dans le dépôt compagnon szzxli/soc-skills — incluant un profil de compétences d'une page lisible par les RH.
Tous les jeux de données, échantillons de journaux et artefacts d'e-mails de ce dépôt sont des échantillons d'entraînement synthétiques — clairement identifiés comme tels. Aucun incident réel, journal réel ou e-mail de phishing réel n'est présenté ici.
Problème : Les analystes SOC doivent savoir comment les détections cloud se déclenchent réellement — pas seulement en théorie. Ce que c'est : Une pile de détection AWS minimale (VPC → CloudTrail → S3 → GuardDuty → SecurityHub), trois scénarios d'émulation d'adversaire utilisant Stratus Red Team (identifiants de techniques vérifiés), un guide de triage et des modèles vierges de rapport d'incident. Compétences : Analyse CloudTrail, triage GuardDuty, workflow de réponse aux incidents, IaC Terraform.
Problème : Les analystes de niveau 1 se noient dans les journaux CloudTrail bruts ; des heuristiques simples détectent rapidement les anomalies évidentes. Ce que c'est : Un outil CLI fonctionnel qui analyse le JSON CloudTrail, signale les connexions anormales / pics d'échecs de connexion / modifications IAM risquées, enrichit les IP via AbuseIPDB et génère un rapport Markdown. Livré avec des données d'exemple synthétiques et une suite pytest qui passe. Compétences : Scripting Python, analyse de journaux, enrichissement d'IOC, heuristiques de détection.
Problème : Le triage du phishing est le travail quotidien du SOC de niveau 1 — forensique des en-têtes, interprétation des résultats d'authentification, désobfuscation d'URL. Ce que c'est : Un parcours complet d'un phishing reconstruit à partir d'un échantillon d'entraînement, une aide-mémoire d'analyse d'en-têtes, un modèle vierge de rapport d'analyse et un guide d'auto-test utilisant GoPhish (boîte mail personnelle uniquement). Compétences : Forensique des en-têtes d'e-mail, SPF/DKIM/DMARC, analyse d'URL, triage de phishing.
Problème : Le projet morluto/rea, n°1 des tendances cette semaine, expose plus de 50 sous-commandes destinées aux agents et un Evidence JSON orienté machine — puissant, mais peu convivial pour un triage rapide.
Ce que c'est : Un CLI de triage de binaire ELF en une seule commande (triage.py <binary>) construit sur l'idée de REA : heuristiques de packing par entropie de sections, détection W^X, liste de surveillance des imports suspects, extraction d'IOC par chaînes, verdict basé sur un score (bénin/suspect/malveillant) et un rapport d'analyste d'une page. Enrichissement optionnel REA inspect-binary-layout lorsque le fournisseur est configuré ; se dégrade honnêtement sans lui.
Compétences : Analyse statique de binaires, internes ELF, heuristiques de triage de malware, ingénierie de détection.
Problème : Le projet tendance mattpocock/skills (291k étoiles) empaquette le workflow d'agent d'un ingénieur TypeScript — rien dedans ne parle SOC.
Ce que c'est : Cinq compétences d'agent pour la boucle de l'analyste de niveau 1, chacune distillée d'un projet fonctionnel de ce dépôt : alert-triage, incident-report, cloudtrail-ioc, phishing-analysis, binary-triage. Chaque compétence déclare son déclencheur, son workflow, son contrat de sortie et ses limites d'honnêteté. Sous licence MIT, installable par copier-coller dans le répertoire de compétences de n'importe quel agent.
Compétences : Triage de détection, documentation d'incident, distillation de connaissances en compétences d'agent.
morluto/rea en tendance) : heuristiques statiques (entropie des sections, W^X, imports suspects, IOC sous forme de chaînes), verdict basé sur un score, rapport prêt pour l'analyste ; enrichissement optionnel via un provider REA.mattpocock/skills.| Mot-clé de fiche de poste d'analyste SOC | Couvert dans |
|---|---|
| SIEM / analyse de logs | 01 (CloudTrail, GuardDuty), 02 (parsing de logs) |
| Réponse à incident & triage | 01 (guide de triage, modèles IR) |
| Détection de menaces / IOC | 02 (heuristiques, enrichissement AbuseIPDB), 03 (extraction d'IOC) |
| Analyse de phishing | 03 (walkthrough complet + cheatsheet) |
| Sécurité cloud (AWS) | 01 (VPC, IAM, S3, GuardDuty, SecurityHub) |
| Scripting / automatisation (Python) | 02 (outil CLI + tests) |
| IaC (Terraform) | 01 (terraform/main.tf) |
| Documentation & reporting | 01 + 03 (modèles, write-ups) |
terraform destroy une fois terminé — ne laissez pas les détecteurs tourner sans surveillance.