网络安全实践实验室：AWS 上的迷你 SOC、CloudTrail IOC 分析器、网络钓鱼分析实验室、ELF 二进制文件分类、SOC 代理技能
动手实践的网络安全实验项目：一个基于 AWS 的迷你 SOC、一个 Python IOC 分析器，以及一个钓鱼分析实验。旨在展示可验证的实用安全技能。
🔗 https://github.com/szzxli/soc-home-lab
📊 量化技能：这些项目依据公开评分标准进行评分，并在配套仓库 szzxli/soc-skills 中映射到 NIST NICE 框架——其中包括一份一页纸、HR 可读的技能档案。
本仓库中的所有数据集、日志样本和电子邮件工件均为合成训练样本——并已明确标注。此处不呈现任何真实事件、真实日志或真实钓鱼邮件。
问题： SOC 分析师需要了解云检测实际上是如何触发的——而不仅仅是理论。 它是什么： 一个极简的 AWS 检测栈（VPC → CloudTrail → S3 → GuardDuty → SecurityHub）、三个使用 Stratus Red Team 的对手仿真场景（已验证的技术 ID）、一份分诊指南，以及空白事件报告模板。 技能： CloudTrail 分析、GuardDuty 分诊、事件响应工作流、Terraform IaC。
问题： 一线分析师淹没在原始 CloudTrail 日志中；简单的启发式方法能快速捕捉明显的恶意行为。 它是什么： 一个可用的 CLI 工具，可解析 CloudTrail JSON，标记异常登录 / 失败登录激增 / 高风险 IAM 变更，通过 AbuseIPDB 丰富 IP 信息，并生成 Markdown 报告。附带合成样本数据和通过的 pytest 测试套件。 技能： Python 脚本、日志分析、IOC 丰富、检测启发式。
问题： 钓鱼分诊是一线 SOC 的日常工作——标头取证、认证结果解读、URL 去混淆。 它是什么： 对一份重建的训练样本钓鱼邮件进行完整演练、一份标头分析速查表、一份空白分析报告模板，以及一份使用 GoPhish（仅限自己的邮箱）的自测指南。 技能： 电子邮件标头取证、SPF/DKIM/DMARC、URL 分析、钓鱼分诊。
问题： 本周排名第一的热门项目 morluto/rea 暴露了 50 多个面向 agent 的子命令和面向机器的 Evidence JSON——功能强大，但对快速分诊来说并不友好。
它是什么： 一个单命令 ELF 二进制分诊 CLI（triage.py <binary>），基于 REA 的理念构建：节熵加壳启发式、W^X 检测、可疑导入监视列表、字符串 IOC 提取、基于评分的判定（良性/可疑/恶意），以及一页纸的分析师报告。当配置了提供程序时，可选进行 REA inspect-binary-layout 丰富；未配置时则如实降级。
技能： 静态二进制分析、ELF 内部结构、恶意软件分诊启发式、检测工程。
问题： 热门项目 mattpocock/skills（291k 星）打包了一位 TypeScript 工程师的 agent 工作流——其中没有任何内容涉及 SOC。
它是什么： 面向一线分析师循环的五个 agent 技能，每个都提炼自本仓库中的一个可用项目：alert-triage、incident-report、cloudtrail-ioc、phishing-analysis、binary-triage。每个技能都声明了其触发条件、工作流、输出契约和诚实边界。MIT 许可，可复制粘贴安装到任何 agent 的技能目录中。
技能： 检测分诊、事件文档、将知识提炼为 agent 技能。
morluto/rea）：静态启发式分析（节区熵、W^X、可疑导入、字符串 IOC）、基于评分的判定、面向分析师就绪的报告；可选 REA 提供者丰富。mattpocock/skills 的安全风味答案。| SOC 分析师 JD 关键词 | 涵盖于 |
|---|---|
| SIEM / 日志分析 | 01（CloudTrail、GuardDuty）、02（日志解析） |
| 事件响应与分类 | 01（分类指南、IR 模板） |
| 威胁检测 / IOC | 02（启发式规则、AbuseIPDB 丰富）、03（IOC 提取） |
| 钓鱼分析 | 03（完整演练 + 速查表） |
| 云安全（AWS） | 01（VPC、IAM、S3、GuardDuty、SecurityHub） |
| 脚本 / 自动化（Python） | 02（CLI 工具 + 测试） |
| IaC（Terraform） | 01（terraform/main.tf） |
| 文档与报告 | 01 + 03（模板、撰写文档） |
terraform destroy——不要无人值守地让检测器持续运行。