SOC 자동화 연구소

이 저장소는 오픈소스 도구를 사용하여 구축한 자동화된 SOC 데모의 설계, 탐지 로직, 자동화 워크플로우, 그리고 얻은 교훈을 문서화합니다.

이 프로젝트는 알림이 탐지에서 조사 및 알림으로 이동하는 방식과 그 과정에서 발생하는 문제점에 중점을 둡니다.

이는 프로덕션 환경에 배포할 수 있는 구성이 아닙니다. 학습 및 참조용 실습실입니다.

---

아키텍처 개요

흐름:

1. MITRE Caldera가 공격자 활동을 시뮬레이션합니다.
2. Wazuh가 Linux 엔드포인트에서 동작을 탐지합니다.
3. N8N이 알림을 보강하고 알림 및 티켓 생성을 자동화합니다.
4. Velociraptor가 포렌식 신뢰도를 위해 활동을 검증합니다.

탐지 → 보강 → 알림 → 검증

---

사용된 도구

• Wazuh (SIEM / 탐지)
• N8N (자동화 / SOAR 스타일 워크플로우)
• MITRE Caldera (공격 시뮬레이션)
• Velociraptor (포렌식 검증)

---

이 저장소가 포함하는 내용

• 탐지 로직 및 임계값
• 자동화 결정 흐름
• 공격 시뮬레이션 컨텍스트
• 포렌식 검증 쿼리
• 운영 교훈 및 함정
• 오탐지 및 잡음 고려사항

---

Medium 기사

이 저장소는 다음 글과 함께 제공됩니다:

• 시니어 엔지니어가 자동화된 SOC 데모를 만들라고 도전했습니다. 제가 만든 것은 이것입니다.
• Wazuh + N8N 통합이 거의 저를 이겼지만 — 포기는 선택지가 아니었습니다

---

면책 조항

모든 구성은 단순화되고 정리되었습니다. 비밀, API 키, 또는 프로덕션 준비 파일은 포함되어 있지 않습니다.