Laboratorio di Automazione SOC

Questo repository documenta la progettazione, la logica di rilevamento, i flussi di lavoro di automazione e le lezioni apprese dalla costruzione di un SOC demo automatizzato utilizzando strumenti open-source.

Il progetto si concentra su come gli alert passano dal rilevamento all’investigazione e alla notifica, e cosa si rompe lungo il percorso.

Questa non è una distribuzione pronta per la produzione. È un laboratorio di apprendimento e riferimento.

---

Panoramica dell’Architettura

Flusso:

1. MITRE Caldera simula l’attività dell’attaccante
2. Wazuh rileva il comportamento su un endpoint Linux
3. N8N arricchisce gli alert e automatizza la notifica e il ticketing
4. Velociraptor convalida l’attività per la fiducia forense

Rilevamento → Arricchimento → Notifica → Convalida

---

Strumenti Utilizzati

• Wazuh (SIEM / rilevamento)
• N8N (automazione / flussi di lavoro stile SOAR)
• MITRE Caldera (simulazione di attacco)
• Velociraptor (convalida forense)

---

Cosa Contiene Questo Repository

• Logica di rilevamento e soglie
• Flusso decisionale dell’automazione
• Contesto della simulazione d’attacco
• Query di convalida forense
• Lezioni operative e insidie
• Considerazioni su falsi positivi e rumore

---

Articoli su Medium

Questo repository accompagna i seguenti articoli:

• Un Senior mi ha sfidato a costruire un SOC demo automatizzato. Ecco cosa ho costruito.
• L’integrazione Wazuh + N8N quasi mi ha sconfitto — ma arrendersi non era un’opzione

---

Disclaimer

Tutte le configurazioni sono semplificate e ripulite. Nessun segreto, chiave API o file pronti per la produzione sono inclusi.