실습형 사이버보안 랩: AWS 기반 미니 SOC, CloudTrail IOC 분석기, 피싱 분석 랩, ELF 바이너리 트리아지, SOC 에이전트 역량
실습 중심의 사이버보안 랩 프로젝트: AWS 위의 미니 SOC, Python IOC 분석기, 그리고 피싱 분석 랩. 검증 가능하고 실용적인 보안 역량을 입증하기 위해 제작되었습니다.
🔗 https://github.com/szzxli/soc-home-lab
📊 정량화된 역량: 이 프로젝트들은 공개 루브릭으로 평가되며, 동반 저장소 szzxli/soc-skills 에서 NIST NICE 프레임워크에 매핑됩니다 — HR이 읽을 수 있는 한 페이지 분량의 역량 프로필 포함.
이 저장소의 모든 데이터셋, 로그 샘플, 이메일 아티팩트는 합성 훈련 샘플이며, 그렇게 명확히 표시되어 있습니다. 실제 사건, 실제 로그, 실제 피싱 이메일은 여기에 제시되지 않습니다.
문제: SOC 분석가는 클라우드 탐지가 실제로 어떻게 작동하는지 알아야 합니다 — 이론만으로는 부족합니다. 내용: 최소한의 AWS 탐지 스택(VPC → CloudTrail → S3 → GuardDuty → SecurityHub), Stratus Red Team 을 사용한 세 가지 적대자 에뮬레이션 시나리오(검증된 기법 ID), 트리아지 가이드, 그리고 빈 사고 보고서 템플릿. 역량: CloudTrail 분석, GuardDuty 트리아지, 사고 대응 워크플로, Terraform IaC.
문제: Tier-1 분석가는 원시 CloudTrail 로그에 파묻혀 있습니다; 단순한 휴리스틱이 명백한 악성 행위를 빠르게 잡아냅니다. 내용: CloudTrail JSON을 파싱하고, 비정상 로그인 / 실패 로그인 급증 / 위험한 IAM 변경을 표시하며, AbuseIPDB를 통해 IP를 보강하고, Markdown 보고서를 출력하는 작동하는 CLI 도구. 합성 샘플 데이터와 통과하는 pytest 스위트가 함께 제공됩니다. 역량: Python 스크립팅, 로그 분석, IOC 보강, 탐지 휴리스틱.
문제: 피싱 트리아지는 일상적인 Tier-1 SOC 업무입니다 — 헤더 포렌식, 인증 결과 해석, URL 난독화 해제. 내용: 재구성된 훈련 샘플 피싱 메일의 전체 워크스루, 헤더 분석 치트시트, 빈 분석 보고서 템플릿, GoPhish를 사용한 자가 테스트 가이드(본인 메일박스만). 역량: 이메일 헤더 포렌식, SPF/DKIM/DMARC, URL 분석, 피싱 트리아지.
문제: 이번 주 #1 트렌딩 morluto/rea는 50개 이상의 에이전트 대상 서브커맨드와 기계 지향 Evidence JSON을 노출합니다 — 강력하지만 빠른 트리아지에는 사람 친화적이지 않습니다.
내용: REA 아이디어를 기반으로 구축된 원커맨드 ELF 바이너리 트리아지 CLI(triage.py <binary>): 섹션 엔트로피 패킹 휴리스틱, W^X 탐지, 의심스러운 임포트 워치리스트, 문자열 IOC 추출, 점수 기반 판정(benign/suspicious/malicious), 그리고 한 페이지 분석가 보고서. 프로바이더가 구성된 경우 선택적 REA inspect-binary-layout 보강; 없으면 정직하게 성능이 저하됩니다.
역량: 정적 바이너리 분석, ELF 내부 구조, 멀웨어 트리아지 휴리스틱, 탐지 엔지니어링.
문제: 트렌딩 mattpocock/skills(291k 스타)는 한 TypeScript 엔지니어의 에이전트 워크플로를 패키징한 것입니다 — 그 안에는 SOC에 관한 것이 전혀 없습니다.
내용: Tier-1 분석가 루프를 위한 다섯 가지 에이전트 스킬로, 각각 이 저장소의 작동하는 프로젝트에서 추출되었습니다: alert-triage, incident-report, cloudtrail-ioc, phishing-analysis, binary-triage. 각 스킬은 트리거, 워크플로, 출력 계약, 정직성 경계를 선언합니다. MIT 라이선스, 모든 에이전트의 스킬 디렉터리에 복사-붙여넣기로 설치 가능.
역량: 탐지 트리아지, 사고 문서화, 에이전트 스킬로의 지식 증류.
morluto/rea에서 영감을 받음). 정적 휴리스틱(섹션 엔트로피, W^X, 의심스러운 임포트, 문자열 IOC), 점수 기반 판정, 분석가용 보고서, 선택적 REA 제공자 강화를 포함합니다.mattpocock/skills에 대한 보안 버전의 답변입니다.| SOC 분석가 JD 키워드 | 다룬 항목 |
|---|---|
| SIEM / 로그 분석 | 01 (CloudTrail, GuardDuty), 02 (로그 파싱) |
| 사고 대응 및 트리아지 | 01 (트리아지 가이드, IR 템플릿) |
| 위협 탐지 / IOC | 02 (휴리스틱, AbuseIPDB 강화), 03 (IOC 추출) |
| 피싱 분석 | 03 (전체 워크스루 + 치트시트) |
| 클라우드 보안 (AWS) | 01 (VPC, IAM, S3, GuardDuty, SecurityHub) |
| 스크립팅 / 자동화 (Python) | 02 (CLI 도구 + 테스트) |
| IaC (Terraform) | 01 (terraform/main.tf) |
| 문서화 및 보고 | 01 + 03 (템플릿, 작성 문서) |
terraform destroy를 실행하세요 — 탐지기를 방치하지 마세요.