ハンズオンサイバーセキュリティラボ：AWS上のミニSOC、CloudTrail IOCアナライザー、フィッシング分析ラボ、ELFバイナリトリアージ、SOCエージェントスキル
実践的なサイバーセキュリティラボプロジェクト：AWS上のミニSOC、Python IOCアナライザー、フィッシング分析ラボ。検証可能で実践的なセキュリティスキルを実証するために構築。
🔗 https://github.com/szzxli/soc-home-lab
📊 スキルの定量化：これらのプロジェクトは公開ルーブリックで採点され、コンパニオンリポジトリ szzxli/soc-skills でNIST NICEフレームワークにマッピングされています — 人事が読める1ページのスキルプロファイルを含みます。
このリポジトリ内のすべてのデータセット、ログサンプル、メールアーティファクトは合成トレーニングサンプルであり、そのように明確にラベル付けされています。実際のインシデント、実際のログ、実際のフィッシングメールはここには提示されていません。
課題： SOCアナリストは、クラウド検知が実際にどのように発火するかを知る必要があります — 理論だけでなく。 内容： 最小限のAWS検知スタック（VPC → CloudTrail → S3 → GuardDuty → SecurityHub）、Stratus Red Teamを使用した3つの敵対者エミュレーションシナリオ（検証済みのテクニックID）、トリアージガイド、および空のインシデントレポートテンプレート。 スキル： CloudTrail分析、GuardDutyトリアージ、インシデント対応ワークフロー、Terraform IaC。
課題： Tier-1アナリストは生のCloudTrailログに溺れてしまう。単純なヒューリスティックで明らかな悪性を素早く捕捉できる。 内容： CloudTrail JSONを解析し、異常なログイン／失敗ログインの急増／危険なIAM変更をフラグ付けし、AbuseIPDB経由でIPをエンリッチし、Markdownレポートを出力する実用的なCLIツール。合成サンプルデータと合格するpytestスイートを同梱。 スキル： Pythonスクリプティング、ログ分析、IOCエンリッチメント、検知ヒューリスティック。
課題： フィッシングトリアージは日々のTier-1 SOC業務です — ヘッダーフォレンジック、認証結果の解釈、URL難読化解除。 内容： 再構築されたトレーニングサンプルフィッシングの完全なウォークスルー、ヘッダー分析チートシート、空の分析レポートテンプレート、GoPhishを使用したセルフテストガイド（自分のメールボックスのみ）。 スキル： メールヘッダーフォレンジック、SPF/DKIM/DMARC、URL分析、フィッシングトリアージ。
課題： 今週のトレンド1位 morluto/rea は50以上のエージェント向けサブコマンドと機械指向のEvidence JSONを公開しています — 強力ですが、迅速なトリアージには人間に優しくありません。
内容： REAのアイデアに基づいて構築されたワンコマンドのELFバイナリトリアージCLI（triage.py <binary>）：セクションエントロピーパッキングヒューリスティック、W^X検出、疑わしいインポートのウォッチリスト、文字列IOC抽出、スコアベースの判定（benign/suspicious/malicious）、および1ページのアナリストレポート。プロバイダーが設定されている場合はオプションのREA inspect-binary-layoutエンリッチメント。設定されていない場合は正直に機能を縮退。
スキル： 静的バイナリ分析、ELF内部構造、マルウェアトリアージヒューリスティック、検知エンジニアリング。
課題： トレンドの mattpocock/skills（291kスター）は、あるTypeScriptエンジニアのエージェントワークフローをパッケージ化したものですが、SOCについては何も語っていません。
内容： Tier-1アナリストループ向けの5つのエージェントスキル。それぞれこのリポジトリの実動プロジェクトから抽出されています：alert-triage、incident-report、cloudtrail-ioc、phishing-analysis、binary-triage。各スキルはトリガー、ワークフロー、出力契約、および誠実性の境界を宣言しています。MITライセンスで、任意のエージェントのskillsディレクトリにコピー＆ペーストでインストール可能。
スキル： 検知トリアージ、インシデントドキュメンテーション、エージェントスキルへの知識蒸留。
morluto/reaに触発）：静的ヒューリスティクス（セクションエントロピー、W^X、疑わしいインポート、文字列IOC）、スコアベースの判定、アナリスト向けレポート。オプションのREAプロバイダーエンリッチメント。mattpocock/skillsに対するセキュリティ風の回答。| SOCアナリストJDキーワード | カバー箇所 |
|---|---|
| SIEM / ログ分析 | 01（CloudTrail、GuardDuty）、02（ログ解析） |
| インシデント対応 & トリアージ | 01（トリアージガイド、IRテンプレート） |
| 脅威検出 / IOC | 02（ヒューリスティクス、AbuseIPDBエンリッチメント）、03（IOC抽出） |
| フィッシング分析 | 03（完全ウォークスルー + チートシート） |
| クラウドセキュリティ（AWS） | 01（VPC、IAM、S3、GuardDuty、SecurityHub） |
| スクリプティング / 自動化（Python） | 02（CLIツール + テスト） |
| IaC（Terraform） | 01（terraform/main.tf） |
| ドキュメント & レポーティング | 01 + 03（テンプレート、ライトアップ） |
terraform destroyを実行 — 検出器を無人で稼働させたままにしないこと。