Monta tu propio SOC en casa: laboratorio de detección de intrusiones

Qué vas a construir

Un SOC (Security Operations Center) casero te permite detectar intrusiones, centralizar logs y entrenar como un analista real, sin pagar licencias. Al terminar tendrás alertas en tiempo real cuando alguien ataque tu red.

Arquitectura del laboratorio

• Wazuh como SIEM/XDR central: recoge logs y genera alertas.
• Suricata como IDS de red: detecta tráfico malicioso.
• Dos máquinas víctima: un Windows 10 y un Ubuntu Server.
• Kali Linux como atacante para generar eventos.
• Todo en una red interna aislada del hipervisor.

Paso 1 — Desplegar Wazuh

Levanta Wazuh con Docker en la máquina servidor. En 10 minutos tienes el dashboard por HTTPS. Cambia las credenciales por defecto y crea tu primer usuario analista.

Paso 2 — Agentes y recolección de logs

Instala el agente de Wazuh en Windows y Ubuntu. Verás eventos de inicio de sesión, cambios de ficheros y procesos. Activa la monitorización de integridad (FIM) en carpetas críticas.

Paso 3 — Lanzar un ataque y detectarlo

Desde Kali, lanza un escaneo y una fuerza bruta de SSH contra el Ubuntu. En Wazuh se dispararán las reglas de "múltiples intentos fallidos" y la alerta de Suricata por el escaneo. Acabas de detectar tu primer ataque.

Siguiente nivel

Añade reglas personalizadas, envía alertas a Telegram y simula un ransomware para ver la detección por comportamiento. Tienes un laboratorio que vale para tu CV y para practicar a diario.