joelwwiggins/homelab-soc-playbooks

# 家庭实验室 SOC 操作手册与事件响应作品集 **仓库用途** 本仓库包含经过脱敏处理的、专业级的安全运营中心 (SOC) 操作手册、事件文档和检测逻辑，这些内容均是在个人的 Kubernetes + Wazuh 家庭实验室环境中开发的。 它展示了以下方面的实践技能： - 跨 SIEM + 容器平台的威胁检测与关联 - 遵循真实 SOC 标准（与 NIST/SANS 对齐）的操作手册编写 - 根据爆炸半径和置信度进行优先级排序 - 事件后改进（检测工程 + 架构加固） - 清晰、可操作的文档，适合交接或审计 **目标受众** - 正在构建作品集的网络安全学生和转行者 - 评估实际 SOC 能力的招聘经理或教授 - 用于持续进行家庭实验室安全运营的个人参考 ## 展示的技能 | 类别 | 示例 | |----------------------------|----------| | **事件响应** | 完整的调查工作流、证据收集、遏制决策树 | | **手册开发** | 结构化的、版本控制的、映射到 MITRE ATT&CK 的程序 | | **检测工程** | 自定义 Wazuh 规则逻辑，多源信号关联 | | **Kubernetes 安全** | NetworkPolicy 遏制、pod/node 取证、工作负载隔离 | | **SIEM 操作** | Wazuh agent 密钥管理、恶意 agent 冒充响应 | | **文档** | 适合真实 SOC 团队使用的专业 Markdown 结构 | | **持续改进** | 经验教训部分 + 可操作的事件后任务 | **背景上下文** 作者是拥有 20 多年流程优化和炼油厂经验的网络安全学生（IT-Info Tech Cybersecurity 证书方向）。这项家庭实验室工作将工业控制系统的思维与现代云原生安全实践相结合 —— 为 ICS/OT 网络安全或混合 SOC 角色奠定了坚实的基础。 ## 仓库结构 ``` homelab-soc-playbooks/ ├── README.md ├── SKILL.md # Instructions for future LLM / AI assistance ├── playbooks/ │ └── wazuh-agent-impersonation-kubernetes.md ├── incidents/ # Example incident reports (sanitized) ├── detections/ │ └── wazuh/ # Custom rules & decoders (future) └── architecture/ └── wazuh-kubernetes-notes.md # Deployment & hardening notes (future) ``` ## 如何使用这些操作手册 1. 查看与您的警报或调查相匹配场景的操作手册。 2. 遵循 **调查 → 遏制 → 根除 → 恢复** 的流程。 3. 在每次真实或模拟事件后，使用 **经验教训** 部分来改进检测和架构。 4. 所有的命令和 NetworkPolicy 示例都已准备好（经过适当测试后）适应您的环境。 ## 重要提示 - 本仓库中的所有内容均已**脱敏**处理以供公开分享。真实的主机名、内部 IP 范围、namespace 名称和特定标识符已被泛化或替换为占位符。 - 这些工件是在家庭实验室中构建防御能力时，出于**教育和作品集目的**而创建的。 - 这**不**是针对任何实时环境的生产建议。请始终进行彻底的测试，并遵循您所在组织的变更管理流程。 ## 未来计划（规划中） - 更多操作手册（勒索软件、Kubernetes 中的供应链入侵等） - 自定义 Wazuh 规则和 decoder - 带有时间线的示例事件报告 - 架构图和加固指南 - 在相关之处映射到 CompTIA Security+ / CySA+ / PenTest+ 的目标 **许可证** 教育 / 作品集使用。欢迎 fork 并进行调整以供自己学习。如果您重用了大量内容，请注明出处。 **联系方式 / 链接** - GitHub: [your-username]/homelab-soc-playbooks - LinkedIn / X: (添加您的职业档案) *最后更新：2026 年 5 月* *在攻读网络安全证书并在 Kubernetes 家庭实验室中培养实用 SOC 技能期间构建。*

标签：Wazuh, 子域名突变, 子域枚举, 安全文档, 安全运营, 库, 应急响应, 扫描框架, 防御加固