En desarrollo · Preparación del laboratorio
Anthwatch
Laboratorio personal SOC
Estoy montando un laboratorio con Wazuh para aprender a investigar alertas de seguridad. Quiero seguir cada caso desde los primeros eventos hasta una conclusión que pueda explicar con los registros.
El montaje previsto
El laboratorio representará una pequeña empresa con un servidor Linux. Usaré tres máquinas virtuales, cada una con una función distinta:
| Máquina | Para qué la usaré |
|---|---|
anthwatch-wazuh | Recibir los eventos, aplicar las reglas de detección y consultar las alertas en el panel. |
anthwatch-server | Ubuntu Server con SSH y el agente de Wazuh. Será el equipo que investigaré. |
anthwatch-client | Otro Ubuntu Server desde el que generaré los intentos de acceso. |
El cliente generará los accesos por SSH al servidor Ubuntu. Su agente enviará los eventos a Wazuh, y yo los revisaré desde el panel.
Las máquinas compartirán una red solo-anfitrión, separada de mi red doméstica. Usaré NAT para instalar y actualizar paquetes, y lo desconectaré durante las pruebas. Todas las simulaciones se harán contra mis propias máquinas y con cuentas de prueba.
Caso 01 · Pendiente
Intentos de acceso por SSH
Empezaré con varios intentos fallidos de acceso desde la misma IP y con una misma cuenta. Después haré un acceso correcto para revisar la secuencia completa.
- Comprobar la recogida de eventos. Verificaré que los accesos aparecen en los registros del servidor y llegan a Wazuh.
- Generar la secuencia de fallos. Revisaré qué alerta se produce y qué regla la activa.
- Investigar lo ocurrido. Buscaré la IP, el usuario, los horarios y los intentos, incluyendo el acceso correcto posterior.
- Escribir una conclusión. Explicaré qué puedo confirmar, qué información falta y qué medidas propondría.
Un acceso correcto después de varios fallos no demuestra por sí solo que la cuenta esté comprometida. Tendré que revisar el contexto y distinguir lo que he simulado de lo que demuestran los registros.
La simulación se relacionará con T1110.001 · Password Guessing. Añadiré T1078 · Valid Accounts si el escenario incluye un uso no autorizado simulado de la cuenta.
Cómo documentaré cada investigación
Usaré una misma ficha para todos los casos. Me servirá para ordenar las pruebas y explicar por qué he tomado una decisión.
- Lo que simulé
- Qué actividad generé en el laboratorio y qué esperaba observar.
- Lo que muestran los registros
- Alertas, eventos y consultas que apoyan lo que puedo confirmar.
- El contexto del caso
- Equipo, IP, usuario, cronología y técnica MITRE asociada.
- La decisión
- Prioridad, conclusión, información que falta, medidas propuestas y criterio para escalar.
Esta página irá recogiendo las capturas y los casos a medida que los complete. Los informes y los pasos para repetir cada prueba estarán en el repositorio.
Después del primer caso
Probaré cambios en archivos monitorizados, creación de usuarios y actividad con sudo. Más adelante trabajaré en reglas propias y búsquedas de actividad sospechosa a partir de una hipótesis.
El analizador de logs en Python seguirá como proyecto separado. Usará datos exportados de Anthwatch para agrupar eventos y preparar cronologías.