Laboratório prático de cibersegurança: mini-SOC na AWS, analisador de IOC do CloudTrail, laboratório de análise de phishing, triagem de binários ELF, habilidades de agente de SOC
Projetos práticos de laboratório de cibersegurança: um mini-SOC na AWS, um analisador de IOC em Python e um laboratório de análise de phishing. Construído para demonstrar habilidades de segurança verificáveis e práticas.
🔗 https://github.com/szzxli/soc-home-lab
📊 Habilidades quantificadas: estes projetos são avaliados segundo uma rubrica pública e mapeados para o framework NIST NICE no repositório complementar szzxli/soc-skills — incluindo um perfil de habilidades de uma página legível por RH.
Todos os conjuntos de dados, amostras de log e artefatos de e-mail neste repositório são amostras sintéticas de treinamento — claramente rotuladas como tal. Nenhum incidente real, log real ou e-mail de phishing real é apresentado aqui.
Problema: Analistas de SOC precisam saber como as detecções em nuvem realmente disparam — não apenas a teoria. O que é: Uma stack mínima de detecção na AWS (VPC → CloudTrail → S3 → GuardDuty → SecurityHub), três cenários de emulação de adversário usando Stratus Red Team (IDs de técnica verificados), um guia de triagem e modelos em branco de relatório de incidente. Habilidades: Análise de CloudTrail, triagem de GuardDuty, fluxo de resposta a incidentes, IaC com Terraform.
Problema: Analistas de Tier-1 se afogam em logs brutos do CloudTrail; heurísticas simples capturam o óbvio malicioso rapidamente. O que é: Uma ferramenta CLI funcional que faz parsing de JSON do CloudTrail, sinaliza logins anômalos / picos de falha de login / mudanças arriscadas de IAM, enriquece IPs via AbuseIPDB e emite um relatório em Markdown. Vem com dados de amostra sintéticos e suíte pytest aprovada. Habilidades: Scripting em Python, análise de logs, enriquecimento de IOC, heurísticas de detecção.
Problema: A triagem de phishing é trabalho diário de SOC Tier-1 — forense de cabeçalhos, interpretação de resultados de autenticação, desofuscação de URL. O que é: Um passo a passo completo de um phish de amostra de treinamento reconstruído, uma cheatsheet de análise de cabeçalhos, um modelo em branco de relatório de análise e um guia de autoteste usando GoPhish (apenas caixa de correio própria). Habilidades: Forense de cabeçalhos de e-mail, SPF/DKIM/DMARC, análise de URL, triagem de phishing.
Problema: O morluto/rea, #1 em tendências desta semana, expõe mais de 50 subcomandos voltados a agentes e Evidence JSON orientado a máquina — poderoso, mas não amigável para humanos em triagem rápida.
O que é: Uma CLI de triagem de binário ELF com um único comando (triage.py <binary>) construída sobre a ideia do REA: heurísticas de packing por entropia de seção, detecção de W^X, watchlist de imports suspeitos, extração de IOC de strings, veredito baseado em pontuação (benign/suspicious/malicious) e um relatório de analista de uma página. Enriquecimento opcional com REA inspect-binary-layout quando o provedor está configurado; degrada honestamente sem ele.
Habilidades: Análise estática de binários, internals de ELF, heurísticas de triagem de malware, engenharia de detecção.
Problema: O mattpocock/skills em tendência (291k estrelas) empacota o fluxo de trabalho de agente de um engenheiro TypeScript — nada nele fala SOC.
O que é: Cinco habilidades de agente para o loop do analista Tier-1, cada uma destilada de um projeto funcional neste repositório: alert-triage, incident-report, cloudtrail-ioc, phishing-analysis, binary-triage. Cada habilidade declara seu gatilho, fluxo de trabalho, contrato de saída e limites de honestidade. Licenciado sob MIT, instalável por copiar e colar no diretório de skills de qualquer agente.
Habilidades: Triagem de detecção, documentação de incidentes, destilação de conhecimento em habilidades de agente.
morluto/rea): heurísticas estáticas (entropia de seções, W^X, imports suspeitos, IOCs em strings), veredito baseado em pontuação, relatório pronto para o analista; enriquecimento opcional via provedor REA.mattpocock/skills.| Palavra-chave de vaga de Analista de SOC | Coberto em |
|---|---|
| SIEM / análise de logs | 01 (CloudTrail, GuardDuty), 02 (parsing de logs) |
| Resposta a incidentes e triagem | 01 (guia de triagem, templates de IR) |
| Detecção de ameaças / IOCs | 02 (heurísticas, enriquecimento AbuseIPDB), 03 (extração de IOCs) |
| Análise de phishing | 03 (walkthrough completo + cheatsheet) |
| Segurança em nuvem (AWS) | 01 (VPC, IAM, S3, GuardDuty, SecurityHub) |
| Scripting / automação (Python) | 02 (ferramenta CLI + testes) |
| IaC (Terraform) | 01 (terraform/main.tf) |
| Documentação e relatórios | 01 + 03 (templates, write-ups) |
terraform destroy quando terminar — não deixe detectores rodando sem supervisão.