soc-home-lab

Практические проекты по кибербезопасности: мини-SOC на AWS, анализатор IOC на Python и лаборатория анализа фишинга. Созданы для демонстрации проверяемых, практических навыков в области безопасности.

🔗 https://github.com/szzxli/soc-home-lab

📊 Навыки в цифрах: эти проекты оцениваются по публичной рубрике и сопоставляются с фреймворком NIST NICE в сопутствующем репозитории szzxli/soc-skills — включая одностраничный профиль навыков, читаемый для HR.

Все наборы данных, образцы логов и артефакты электронных писем в этом репозитории — это синтетические обучающие образцы, явно помеченные как таковые. Здесь не представлены реальные инциденты, реальные логи или реальные фишинговые письма.

Проекты

01 — mini-soc

Проблема: Аналитикам SOC нужно знать, как облачные детекции срабатывают на самом деле — не только в теории. Что это: Минимальный стек детекции в AWS (VPC → CloudTrail → S3 → GuardDuty → SecurityHub), три сценария эмуляции противника с использованием Stratus Red Team (проверенные ID техник), руководство по триажу и пустые шаблоны отчётов об инцидентах. Навыки: Анализ CloudTrail, триаж GuardDuty, рабочий процесс реагирования на инциденты, Terraform IaC.

02 — python-ioc-analyzer

Проблема: Аналитики уровня Tier-1 тонут в сырых логах CloudTrail; простые эвристики быстро отлавливают очевидную вредоносную активность. Что это: Рабочий CLI-инструмент, который парсит JSON CloudTrail, помечает аномальные входы / всплески неудачных входов / рискованные изменения IAM, обогащает IP-адреса через AbuseIPDB и выдаёт отчёт в формате Markdown. Поставляется с синтетическими образцами данных и проходящим набором тестов pytest. Навыки: Скриптинг на Python, анализ логов, обогащение IOC, эвристики детекции.

03 — phishing-analysis-lab

Проблема: Триаж фишинга — ежедневная работа Tier-1 SOC: форензика заголовков, интерпретация результатов аутентификации, деобфускация URL. Что это: Полный разбор реконструированного обучающего образца фишингового письма, шпаргалка по анализу заголовков, пустой шаблон отчёта об анализе и руководство по самопроверке с использованием GoPhish (только собственный почтовый ящик). Навыки: Форензика заголовков электронных писем, SPF/DKIM/DMARC, анализ URL, триаж фишинга.

04 — rea-triage

Проблема: Популярный на этой неделе morluto/rea предоставляет 50+ подкоманд для агентов и машиноориентированный Evidence JSON — мощно, но неудобно для человека при быстром триаже. Что это: CLI для триажа ELF-бинарников одной командой (triage.py <binary>), построенный на идее REA: эвристики упаковки по энтропии секций, обнаружение W^X, список подозрительных импортов, извлечение строковых IOC, вердикт на основе оценки (benign/suspicious/malicious) и одностраничный отчёт аналитика. Опциональное обогащение через REA inspect-binary-layout при настроенном провайдере; честно деградирует без него. Навыки: Статический анализ бинарников, внутренности ELF, эвристики триажа вредоносного ПО, инженерия детекций.

05 — soc-skills

Проблема: Популярный mattpocock/skills (291k звёзд) упаковывает рабочий процесс агента одного инженера TypeScript — в нём нет ничего про SOC. Что это: Пять агентских навыков для цикла работы аналитика Tier-1, каждый извлечён из рабочего проекта в этом репозитории: alert-triage, incident-report, cloudtrail-ioc, phishing-analysis, binary-triage. Каждый навык декларирует свой триггер, рабочий процесс, контракт вывода и границы честности. Лицензия MIT, устанавливается копированием в директорию навыков любого агента. Навыки: Триаж детекций, документирование инцидентов, дистилляция знаний в агентские навыки.

Пункты для резюме (готовы к копированию)

• Построил мини-SOC в AWS (CloudTrail, GuardDuty, SecurityHub через Terraform); эмулировал техники противника с помощью Stratus Red Team и составил runbook'и для триажа находок GuardDuty.
• Разработал Python CLI-инструмент, который парсит логи CloudTrail, применяет эвристики обнаружения (входы с невозможным перемещением, всплески brute-force, рискованные изменения IAM) и обогащает IOC через AbuseIPDB — с синтетическими тестовыми данными и проходящим набором тестов pytest.
• Выполнил структурированный анализ фишинговых писем (форензика заголовков, интерпретация SPF/DKIM/DMARC, деобфускация URL, извлечение IOC) на реконструированных обучающих образцах; задокументировал процедуры реагирования уровня Tier-1.
• Создал инструмент для триажа ELF-бинарников одной командой (вдохновлён популярным morluto/rea): статические эвристики (энтропия секций, W^X, подозрительные импорты, строковые IOC), вердикт на основе оценки, отчёт, готовый для аналитика; опциональное обогащение через провайдера REA.
• Написал пять агентских навыков под лицензией MIT для SOC-аналитиков (триаж алертов, отчётность об инцидентах, анализ IOC из CloudTrail, анализ фишинга, триаж бинарников), выделенных из рабочих домашних лабораторных проектов — ответ на mattpocock/skills в стиле безопасности.
• Написал шаблоны отчётов об инцидентах и руководства по триажу обнаружений в соответствии со стандартами документации SOC.

Матрица навыков

Ключевое слово из вакансии SOC-аналитика	Освещено в
SIEM / анализ логов	01 (CloudTrail, GuardDuty), 02 (парсинг логов)
Реагирование на инциденты и триаж	01 (руководство по триажу, шаблоны IR)
Обнаружение угроз / IOC	02 (эвристики, обогащение через AbuseIPDB), 03 (извлечение IOC)
Анализ фишинга	03 (полное руководство + шпаргалка)
Облачная безопасность (AWS)	01 (VPC, IAM, S3, GuardDuty, SecurityHub)
Скриптинг / автоматизация (Python)	02 (CLI-инструмент + тесты)
IaC (Terraform)	01 (terraform/main.tf)
Документация и отчётность	01 + 03 (шаблоны, описания)

Стоимость и очистка

• Проект 01 требует собственного аккаунта AWS; ориентировочно $5–15/месяц при минимальной конфигурации. Выполните terraform destroy по завершении — не оставляйте детекторы работающими без присмотра.
• Проекты 02 и 03 бесплатны (только локально, плюс опциональный бесплатный API-ключ AbuseIPDB).