Enterprise-Detection-Engineering-SOC-Lab
Laboratorio SOC open source con 12 herramientas vía Docker Compose para detección, caza de amenazas e IR. Cubre MITRE ATT&CK v14 con OpenSearch, Zeek, Suricata, MISP, Velociraptor, Caldera y agentes AI. Ideal para analistas SOC L2/3 en entorno aislado.
Ficha actualizada 27 sept 2026, 8:06 · upstream 27 sept 2026, 8:00 · release v2.0.0
Qué es Enterprise-Detection-Engineering-SOC-Lab
Descripción editorial construida a partir del repositorio, su documentación y sus señales de mantenimiento.
Este repositorio proporciona un laboratorio práctico de ingeniería de detección para centros de operaciones de seguridad (SOC). Combina herramientas de monitorización como Zeek y Suricata con una plataforma SIEM basada en OpenSearch para correlación de eventos. Incluye capacidades de inteligencia de amenazas mediante MISP, gestión de incidentes con DFIR-IRIS e investigación endpoint con Velociraptor.
La arquitectura sigue un flujo completo: generación de telemetría → normalización vía Vector → detección con ElastAlert2 → enriquecimiento → investigación → respuesta automatizada con StackStorm. Se integra inteligencia artificial local mediante Ollama y CrewAI para asistir al analista sin autonomía.
Cubre 15 escenarios de detección mapeados a MITRE ATT&CK, incluyendo acceso a credenciales, ejecución, persistencia y movimiento lateral. Incluye simulación adversaria con Caldera y pruebas de equipo rojo opcional con Responder en red aislada.
- Práctica de ingeniería de detección mapeada a MITRE ATT&CK para desarrollo de reglas
- Simulación de escenarios adversarios controlados con MITRE Caldera en entorno aislado
- Investigación forense endpoint mediante Velociraptor y VQL para análisis de incidentes
- Caza de amenazas (threat hunting) usando telemetría normalizada por Vector y OpenSearch
- Automatización de respuesta con StackStorm para workflows repetibles de SOC
- Arquitectura end-to-end que cubre flujo completo desde telemetría hasta validación de detecciones
- Cobertura explícita MITRE ATT&CK v14 con 15 escenarios documentados y testables
- Integración AI asistencial mediante Ollama/CrewAI para triage sin autonomía operativa
- Orquestación simplificada vía Docker Compose con servicios preconfigurados
- Soporte multiplataforma: Linux, WSL2 y macOS para despliegue local
- Requiere 16 GB RAM mínimo (análisis indica 8GB insuficiente)
- Complejidad HIGH con múltiples servicios que necesitan configuración manual
- Servicios de monitorización requieren host networking para acceso a paquetes
- No soporta despliegue one-click, requiere configuración explícita
- Algunos componentes como Responder solo en perfiles opcionales separados
Capturas del proyecto
Imágenes reales detectadas en la documentación del repositorio.
Perfil de infraestructura
Estimación inicial derivada del repositorio y de los servicios detectados.
Despliegue detectado
Qué señales reales de instalación hemos encontrado.
Requiere 16 GB RAM mínimo y 50 GB disco. Usar Docker Compose en entorno aislado. Servicios de monitorización requieren host networking. Configurar perfiles separados para red team. Validar conectividad entre servicios antes de iniciar simulaciones adversarias. No usar en producción sin hardening adicional.
Stack y dependencias
Componentes inferidos a partir de manifests, configuración y documentación.
Puede sustituir a
Relaciones detectadas por el análisis del repositorio y su categoría.
Experiencia real de la comunidad
Ayuda a contrastar la estimación automática con instalaciones reales.
Todavía no hay datos comunitarios para este proyecto.