Лаборатория автоматизации SOC

Этот репозиторий документирует дизайн, логику обнаружения, рабочие процессы автоматизации и уроки, извлеченные при создании демонстрации автоматизированного SOC с использованием инструментов с открытым исходным кодом.

Проект фокусируется на том, как оповещения проходят путь от обнаружения до расследования и уведомления, и что ломается на этом пути.

Это не готовое к производству развертывание. Это учебная и справочная лаборатория.

---

Обзор архитектуры

Поток:

1. MITRE Caldera имитирует активность атакующего
2. Wazuh обнаруживает поведение на конечной точке Linux
3. N8N обогащает оповещения и автоматизирует уведомления и тикеты
4. Velociraptor проверяет активность для криминалистической уверенности

Обнаружение → Обогащение → Уведомление → Проверка

---

Используемые инструменты

• Wazuh (SIEM / обнаружение)
• N8N (автоматизация / рабочие процессы в стиле SOAR)
• MITRE Caldera (симуляция атак)
• Velociraptor (криминалистическая проверка)

---

Что содержит этот репозиторий

• Логика обнаружения и пороговые значения
• Поток принятия решений по автоматизации
• Контекст симуляции атак
• Запросы криминалистической проверки
• Эксплуатационные уроки и подводные камни
• Ложные срабатывания и вопросы шума

---

Статьи на Medium

Этот репозиторий сопровождается следующими статьями:

• Старший разработчик бросил мне вызов построить автоматизированное демо SOC. Вот что я построил.
• Интеграция Wazuh + N8N почти меня одолела — но сдаться было не вариант

---

Отказ от ответственности

Все конфигурации упрощены и очищены. Никаких секретов, API-ключей или файлов, готовых к производству, не включено.