SOC Home Lab

Cel

Zbudować środowisko, w którym da się powtórzyć ćwiczenie analityka L1: jest zdarzenie, jest log, jest decyzja, jest notatka. To nie jest SOC firmy i nie jest case study z liczbą „zaoszczędzonych godzin”.

Dwa problemy, które rozwiązałem

1. Teoria bez telemetrii

Czytałem ATT&CK i opisy alertów, ale nie miałem miejsca, w którym sam generuję zdarzenie i widzę je w logu. Bez tego „triage” było zgadywaniem z artykułu.

Co zyskałem: łańcuch zdarzenie → log → alert → notatka, który da się odtworzyć na własnych hostach. Wiem, które Event ID i które źródła w ogóle dochodzą do kolektora — zanim zacznę pisać reguły.

2. Lab, który się rozjeżdżał po tygodniu

Dokładałem kolejne narzędzia „na zapas”. Po restarcie nie było jasne, co jest źródłem prawdy, który agent żyje i gdzie leży notatka z ćwiczenia.

Co zyskałem: wąski baseline (Windows + Linux + Wazuh), checklistę budowy i nawyk kończenia ćwiczenia notatką, a nie screenshotem. Mniej dashboardów, więcej powtarzalności.

Jak wygląda lab

1. Host z wirtualizacją i siecią odciętą od produkcji.
2. Endpoint Windows i Linux z kontami laboratoryjnymi.
3. Agent / kolektor (Wazuh) i jawna ścieżka logów.
4. Scenariusz testowy (np. nieudane logowanie, nowa usługa) + krótka notatka decyzji.

Mapowanie na ATT&CK dopisuję tylko tam, gdzie mam pokrycie w logu — nie „dla ozdoby”.

Powiązane materiały

• Architektura labu SOC L1
• Pierwsza notatka po alercie
• Ściąga Windows Event Log
• Wazuh SIEM w portfolio

Granice

Lab nie jest usługą publiczną, nie monitoruje cudzej produkcji i nie udaje całodobowego SOC. Repozytorium strony nie jest repozytorium obrazów VM.

Stan

Status active: lab jest rozwijany. Kolejne warstwy (więcej reguł, więcej źródeł) dochodzą dopiero gdy podstawowy przepływ działa.