soc-home-lab

Progetti pratici di laboratorio di cybersecurity: un mini-SOC su AWS, un analizzatore IOC in Python e un laboratorio di analisi del phishing. Realizzati per dimostrare competenze di sicurezza verificabili e pratiche.

🔗 https://github.com/szzxli/soc-home-lab

📊 Competenze quantificate: questi progetti sono valutati secondo una rubrica pubblica e mappati sul framework NIST NICE nel repo companion szzxli/soc-skills — inclusa una scheda competenze di una pagina leggibile dalle risorse umane.

Tutti i dataset, i campioni di log e gli artefatti email in questo repo sono campioni sintetici di addestramento — chiaramente etichettati come tali. Qui non vengono presentati incidenti reali, log reali o email di phishing reali.

Progetti

01 — mini-soc

Problema: Gli analisti SOC devono sapere come si attivano realmente le detection nel cloud — non solo la teoria. Cos'è: Uno stack minimale di detection su AWS (VPC → CloudTrail → S3 → GuardDuty → SecurityHub), tre scenari di adversary-emulation usando Stratus Red Team (ID di tecnica verificati), una guida al triage e template vuoti di report di incidente. Competenze: Analisi CloudTrail, triage GuardDuty, workflow di incident response, Terraform IaC.

02 — python-ioc-analyzer

Problema: Gli analisti Tier-1 annegano nei log CloudTrail grezzi; semplici euristiche catturano velocemente l'ovvia malignità. Cos'è: Uno strumento CLI funzionante che analizza JSON CloudTrail, segnala login anomali / picchi di login falliti / modifiche IAM rischiose, arricchisce gli IP tramite AbuseIPDB ed emette un report Markdown. Include dati campione sintetici e una suite pytest superata. Competenze: Scripting Python, analisi dei log, arricchimento IOC, euristiche di detection.

03 — phishing-analysis-lab

Problema: Il triage del phishing è lavoro quotidiano del SOC Tier-1 — forense degli header, interpretazione dei risultati di autenticazione, deoffuscamento degli URL. Cos'è: Una walkthrough completa di un phish campione di addestramento ricostruito, un cheatsheet per l'analisi degli header, un template vuoto di report di analisi e una guida di self-test usando GoPhish (solo propria casella di posta). Competenze: Forense degli header email, SPF/DKIM/DMARC, analisi degli URL, triage del phishing.

04 — rea-triage

Problema: Il morluto/rea in tendenza questa settimana come #1 espone oltre 50 sottocomandi rivolti agli agenti e un Evidence JSON orientato alla macchina — potenti, ma non human-friendly per un triage rapido. Cos'è: Una CLI di triage di binari ELF con un solo comando (triage.py <binary>) costruita sull'idea di REA: euristiche di packing basate sull'entropia delle sezioni, rilevamento W^X, watchlist di import sospetti, estrazione di IOC dalle stringhe, verdetto basato su punteggio (benign/suspicious/malicious) e un report di analisi di una pagina. Arricchimento opzionale REA inspect-binary-layout quando il provider è configurato; degrada onestamente senza di esso. Competenze: Analisi statica dei binari, internals ELF, euristiche di triage del malware, detection engineering.

05 — soc-skills

Problema: Il mattpocock/skills in tendenza (291k stelle) impacchetta il workflow agent di un singolo ingegnere TypeScript — nulla in esso parla di SOC. Cos'è: Cinque agent skill per il loop dell'analista Tier-1, ciascuna distillata da un progetto funzionante in questo repo: alert-triage, incident-report, cloudtrail-ioc, phishing-analysis, binary-triage. Ogni skill dichiara il proprio trigger, workflow, contratto di output e confini di onestà. Licenza MIT, installabili copia-incolla nella directory skills di qualsiasi agente. Competenze: Triage delle detection, documentazione degli incidenti, distillazione della conoscenza in agent skill.

Punti per il curriculum (pronti da copiare)

• Costruito un mini-SOC su AWS (CloudTrail, GuardDuty, SecurityHub tramite Terraform); emulato tecniche avversarie con Stratus Red Team e redatto runbook di triage per i finding di GuardDuty.
• Sviluppato uno strumento CLI Python che analizza i log di CloudTrail, applica euristiche di rilevamento (login impossible-travel, picchi di brute-force, modifiche IAM rischiose) e arricchisce gli IOC tramite AbuseIPDB — con dati di test sintetici e una suite pytest funzionante.
• Eseguita un'analisi strutturata di email di phishing (forense delle intestazioni, interpretazione SPF/DKIM/DMARC, deoffuscamento URL, estrazione IOC) su campioni di training ricostruiti; documentate le procedure di risposta Tier-1.
• Costruito uno strumento di triage per binari ELF con un solo comando (ispirato a morluto/rea): euristiche statiche (entropia delle sezioni, W^X, import sospetti, IOC nelle stringhe), verdetto basato su punteggio, report pronto per l'analista; arricchimento opzionale tramite provider REA.
• Redatte cinque agent skill con licenza MIT per analisti SOC (triage degli alert, reportistica degli incidenti, analisi IOC di CloudTrail, analisi di phishing, triage di binari), distillate da progetti funzionanti di home-lab — la risposta in salsa security a mattpocock/skills.
• Redatti template di reportistica degli incidenti e guide di triage per il rilevamento seguendo gli standard di documentazione SOC.

Matrice delle competenze

Parola chiave JD SOC Analyst	Trattata in
SIEM / analisi dei log	01 (CloudTrail, GuardDuty), 02 (parsing dei log)
Incident response e triage	01 (guida al triage, template IR)
Threat detection / IOC	02 (euristiche, arricchimento AbuseIPDB), 03 (estrazione IOC)
Analisi di phishing	03 (walkthrough completo + cheatsheet)
Cloud security (AWS)	01 (VPC, IAM, S3, GuardDuty, SecurityHub)
Scripting / automazione (Python)	02 (strumento CLI + test)
IaC (Terraform)	01 (terraform/main.tf)
Documentazione e reportistica	01 + 03 (template, write-up)

Costi e pulizia

• Il progetto 01 richiede un tuo account AWS; costo stimato $5–15/mese con configurazione minima. Esegui terraform destroy al termine — non lasciare i detector in esecuzione incustoditi.
• I progetti 02 e 03 sono gratuiti (solo in locale, più una chiave API gratuita opzionale di AbuseIPDB).