DELTAX37-cyb/wazuh-soc-homelab
GitHub: DELTAX37-cyb/wazuh-soc-homelab
基于 Wazuh SIEM 和 Sysmon 构建的 SOC 家庭实验室，用于安全事件的日志收集、威胁检测、文件完整性监控及攻击模拟演练。
Stars: 0 | Forks: 0
# Wazuh SOC Homelab
# Wazuh SOC Homelab
**状态：** 🔧 进行中
## 概述
本项目涉及在家庭机器上从零开始构建一个功能齐全的 Security Operations Centre (SOC) 环境。目标是获得在真实 SOC 环境中使用的行业标准工具的实践经验——包括日志摄取、文件完整性监控、通过 Sysmon 获取的端点遥测数据以及模拟攻击检测。
## 实验架构
| 组件 | 主机 | 角色 |
|---|---|---|
| Wazuh Manager | Ubuntu Server 22.04.5 LTS (VMware) | 收集、索引和分析安全事件 |
| Wazuh Agent | Windows 11 (主机) | 将日志和系统事件发送给 manager |
| Sysmon | Windows 11 (主机) | 提供详细的 Windows 遥测数据 |
**虚拟机配置：**
- RAM: 10 GB
- CPU: 6 核心
- 存储：80 GB
- 网络：NAT
## 阶段
| 阶段 | 描述 | 状态 |
|---|---|---|
| 1 | 环境搭建 | ✅ 完成 |
| 2 | Wazuh Manager 安装 | ✅ 完成 |
| 3 | Wazuh Agent 设置 (Windows) | ✅ 完成 |
| 4 | Sysmon 集成 | 🔧 进行中 |
| 5 | 文件完整性监控 | ⏳ 待处理 |
| 6 | 攻击模拟与检测 | ⏳ 待处理 |
## 部署说明
# 初始部署失败 — Ubuntu 26.04
最初的 Wazuh 部署是在 Ubuntu Server 26.04 LTS 上进行的。尽管安装程序成功完成了几个设置阶段，但由于 `wazuh-indexer` 服务反复崩溃，部署最终失去了功能。
#### 症状
- Wazuh dashboard 无法连接到后端服务
- 在 dashboard 初始化期间出现 `Connection refused` 错误
- `wazuh-indexer` 服务因致命异常退出
- OpenSearch 安全集群初始化失败
#### 排错过程
使用以下方法对该问题进行了排查：
```
sudo systemctl status wazuh-indexer
## 参考
- [Wazuh Official Documentation](https://documentation.wazuh.com)
- [Wazuh Installation Guide](https://documentation.wazuh.com/current/installation-guide/index.html)
- [Sysmon - Microsoft Sysinternals](https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon)
- [Lab guide by Royden Rebello (The Social Dork)](https://youtu.be/QT81wcuoRFY)
```
标签：Sysmon, Wazuh, x64dbg, 安全实验环境, 安全运营, 扫描框架, 攻击模拟, 驱动签名利用