Домашняя лаборатория ИБ: SOC-портфолио с Wazuh

Полгода назад коллега из HR прислал 40 резюме на позицию SOC-аналитика L1. Тридцать семь - копипаста: "знание SIEM-систем, анализ логов, понимание модели OSI". Три кандидата выделялись: к резюме приложены ссылки на GitHub с конфигами Wazuh, скриншотами дашбордов и writeup'ами по разбору SSH-брутфорса на домашнем стенде. Угадайте, кого позвали на собеседование. Домашняя лаборатория ИБ с работающим SIEM - не хобби, а конкретный проект для портфолио, который отделяет "прочитал учебник" от "умею работать руками".

Зачем SOC-стенд нужен в проектном портфолио ИБ​

Русскоязычные гайды по домашним лабораториям обычно заточены под пентест: Kali, nmap, Metasploitable, первый реверс-шелл. Полезно, но рынок труда в 2026 году голодает по специалистам defensive security - SOC-аналитикам, инженерам мониторинга, threat hunter'ам. По данным ISC2 Cybersecurity Workforce Study 2024, глобальный дефицит кибербезопасников - около 4,8 миллиона человек, и практический опыт при найме весит тяжелее диплома.

SOC домашняя лаборатория в портфолио доказывает три навыка одновременно:

• Развёртывание инфраструктуры: гипервизор, SIEM, сетевая изоляция, агенты на эндпоинтах
• Понимание цикла "атака -> алерт -> расследование -> документирование"
• Умение работать с правилами детекта и фреймворком MITRE ATT&CK (для тех кто в танке - это открытая база тактик и техник атак, T-коды удобны для классификации детектов)

Рабочий Wazuh-стенд с writeup'ами выигрывает у стопки сертификатов. Его можно открыть прямо на собеседовании: "вот атака, вот алерт в SIEM, вот мой анализ и рекомендации". Попробуйте проделать такое с бумажкой CEH.

Железо для SOC домашней лаборатории: три уровня​

Начинайте с того, что есть. Покупать железо стоит, когда упрётесь в потолок, а не раньше.


32 гигабайта на мини-ПК - порог комфорта: Wazuh забирает 12 ГБ, Kali - 4 ГБ, остаётся на две-три цели без постоянного свопа. На мини-ПК я рекомендую переходить, когда виртуализация для пентеста Proxmox становится осознанной необходимостью, а не данью моде. У меня первый стенд жил на ноутбуке с 16 ГБ - работало, но каждый запуск Wazuh превращал машину в обогреватель.

Архитектура стенда: Proxmox, Wazuh и уязвимые машины​

Домашняя лаборатория ИБ для SOC-практики строится на трёх слоях.

Гипервизор - Proxmox VE (бесплатная система виртуализации). Ставится вместо ОС на выделенное железо, запускает полноценные KVM-машины и LXC-контейнеры, управляется через браузер. Снапшоты в один клик - без них повторяемые эксперименты превращаются в мучение. Если пока работаете на ноутбуке, начните с VirtualBox - переход на Proxmox для пентеста и мониторинга случится естественно, когда появится отдельная машина.

SIEM - Wazuh на отдельной VM. Wazuh - open-source SIEM (Security Information and Event Management - система сбора и анализа событий безопасности). Четыре компонента в одной VM: Manager принимает данные от агентов и прогоняет правила детекта, Indexer (форк OpenSearch) хранит все события, Dashboard даёт веб-интерфейс для анализа, Agent - лёгкий демон на каждом контролируемом хосте, съедающий 40-60 МБ RAM. Альтернатива - Security Onion, но для домашнего стенда Wazuh SIEM проще в установке и легче по ресурсам. Я пробовал оба - Security Onion хочет 16+ ГБ только на себя, и на мини-ПК ему становится тесно.

Цели - уязвимые машины для обучения. Тут ключевое отличие от пентест-лаборатории: цели нужны не для взлома ради взлома, а для генерации алертов в SIEM. Атакуете с Kali - переключаетесь в дашборд Wazuh - разбираете, что SIEM увидел и чего не увидел. Второе интереснее первого.

Сеть строится на изоляции (network segmentation homelab): все VM в одном Internal Network (VirtualBox) или на отдельном Linux Bridge (Proxmox). Уязвимые машины не имеют выхода в интернет - только связь между собой, Kali и Wazuh. Сканирование чужих систем без разрешения - уголовное преступление, а в вашей изолированной сети весь трафик не покидает виртуальный коммутатор.

Wazuh SIEM настройка на Proxmox​

Создайте VM: Ubuntu 24.04 LTS, 4 vCPU, 12 ГБ RAM, 100 ГБ диска. 12 ГБ - не прихоть: индексатор по умолчанию забирает 50% системной памяти под JVM heap. На 8-гигабайтной VM оставшихся 4 ГБ не хватит для менеджера и дашборда - события начнут теряться, система будет тормозить. Задайте статический IP через netplan или DHCP-резервацию.

Установка - один скрипт:
Флаг -a ставит всё: Manager, Indexer, Dashboard и Filebeat-коннектор между ними. Процесс занимает 10-15 минут. В конце скрипт выведет учётные данные администратора - сохраните их в менеджер паролей сразу. Повторно они не покажутся без ковыряния в конфигах. Я на этом однажды потерял полчаса - пришлось лезть в wazuh-passwords-tool.sh.

Сразу после установки - тюнинг JVM. В файле /etc/wazuh-indexer/jvm.options найдите строки -Xms и -Xmx, выставьте по 4 ГБ. На 12-гигабайтной VM это оставит 8 ГБ для остальных компонентов. Перезапустите индексатор: sudo systemctl restart wazuh-indexer. Без этого шага через пару месяцев обнаружите переполненный диск - индексы растут без ограничений. В дашборде зайдите в Index Management и создайте ISM-политику: алерты хранить 90 дней, архивные события - 30 дней. Десять минут настройки сэкономят часы отладки потом.

Дашборд доступен по https://<IP-VM>:443. Сертификат самоподписанный - предупреждение браузера нормально для домашней лаборатории ИБ. Агент на каждый контролируемый хост ставится указанием IP менеджера при установке через переменную WAZUH_MANAGER="<IP>". Агент подключается автоматически и появляется в дашборде в течение пары минут.

Уязвимые машины для обучения: цели для SOC-детекта​

Для SOC-лаборатории приоритетны машины, которые генерируют разнообразные логи при атаках.

Metasploitable 2 - классика с тридцатью намеренно дырявыми сервисами: FTP, SSH, Samba, HTTP, MySQL. 512 МБ RAM, разворачивается за минуту из OVA-файла. Запустите nmap -sV <IP> с Kali - это Network Service Discovery (T1046, тактика Discovery) - и посмотрите, какие алерты Wazuh сгенерирует на целевой машине.

DVWA (Damn Vulnerable Web Application) - уязвимое веб-приложение для отработки SQL-инъекций, XSS, command injection. Каждая атака - Exploit Public-Facing Application (T1190, Initial Access), и каждая оставляет след в логах Apache. Ставится на Ubuntu-VM через Apache + PHP + MySQL.

Windows 10 Evaluation - бесплатная 90-дневная ISO от Microsoft с Evaluation Center. С установленным Wazuh-агентом и Sysmon (утилита расширенного логирования процессов) даёт детальные алерты при попытках Brute Force (T1110, Credential Access). Хитрость: сделайте снапшот до истечения 90 дней и откатывайтесь к нему. Вечная триалка.

Снапшоты - фундамент SOC-лаборатории. Сделайте чистый снапшот каждой VM сразу после установки агента. Сломали конфигурацию - откатили - попробовали другой вектор. На онлайн-платформах такой роскоши нет - там таймеры тикают.

Первый сценарий для портфолио: брутфорс SSH​

Привязка к MITRE ATT&CK через тег <mitre><id>T1110</id></mitre> - не формальность: техника Brute Force отображается в дашборде Wazuh, и на собеседовании это показывает, что вы понимаете классификацию атак, а не просто скопировали конфиг со StackOverflow.

Writeup. Документируете сценарий по шаблону: что атаковали и зачем -> какой инструмент использовали -> какой алерт получили (скриншот из дашборда) -> какие действия предприняли бы в продакшене (блокировка IP на файрволе, уведомление тимлида, проверка соседних хостов на компрометацию через Valid Accounts - T1078). Именно такой формат разбора ожидают тимлиды SOC от аналитика при реальном инциденте.

Как оформить pet-проекты для резюме в ИБ​

Создайте публичный GitHub-репозиторий со структурой:

• README.md - архитектура стенда: какие VM, сколько ресурсов, схема сети, какой SIEM
• /configs/ - конфигурации Wazuh (ossec.conf, кастомные правила детекта), Sysmon-конфиг
• /writeups/ - разбор каждого сценария: SSH brute force, веб-эксплуатация через DVWA, сканирование портов
• /screenshots/ - скриншоты дашборда Wazuh с алертами и графиками

Каждый writeup оформляется так: контекст (что атаковали и какую технику ATT&CK отрабатывали) -> действия (конкретные команды) -> результат (что увидели в SIEM, скриншот алерта) -> вывод (какие меры реагирования применили бы в продакшене).

Ссылку на репозиторий добавляйте в резюме прямо рядом с блоком "Навыки". Не в раздел "О себе" - там её не заметят. Проектное портфолио ИБ с тремя-четырьмя разобранными сценариями ценнее, чем десяток пройденных курсов без практических артефактов.

Домашняя лаборатория ИБ на Proxmox с Wazuh собирается за выходные, но работает на карьеру месяцами. Большинство кандидатов на SOC L1 приходят с одинаковыми резюме и одинаковыми сертификатами. Единицы приносят рабочий стенд с алертами и writeup'ами - и именно с ними хочется разговаривать дальше.

Я потратил три вечера на первую настройку, наступил на все грабли: забытый JVM-тюнинг, неправильный сетевой адаптер в VirtualBox, агент, который не подключался из-за файрвола между VLAN. Потом год возвращался к тому же стенду, добавляя сценарии. Каждый разобранный алерт учил больше, чем глава учебника.

Главная ошибка начинающих - тратить недели на "идеальную архитектуру" вместо того, чтобы за вечер поднять минимальный стенд и получить первый детект. Не нужен кластер из трёх нод. Не нужны пять VLAN. Одна VM с Wazuh, одна цель и один сценарий - этого хватит, чтобы на собеседовании рассказать историю, подкреплённую конфигами и скриншотами. Перфекционизм в домашней лаборатории - враг прогресса. А если хочется пройти базу системно, а не ковыряться в одиночку по разрозненным гайдам - на IB Basics эту дорожку уже протоптали.