En desarrollo · Fase inicial
Analizador de logs para SOC
Estoy empezando una herramienta en Python para leer logs de autenticación, agrupar intentos fallidos por IP y señalar patrones que merezcan una revisión. De momento, esta página recoge el objetivo y los primeros pasos del proyecto.
Por qué quiero hacerlo
En la especialización de ciberseguridad vamos a trabajar en un SOC y quiero aprovecharlo para entender mejor cómo se investigan los eventos de seguridad. Con este proyecto quiero practicar Python y aprender a sacar información útil de los registros de un sistema.
Por dónde voy a empezar
Antes de escribir el analizador, voy a informarme sobre los logs de autenticación en Linux: qué datos contienen, cómo aparecen los intentos fallidos y qué diferencias hay entre los formatos. Quiero entender lo que estoy leyendo para poder explicar después por qué el programa señala un evento.
También voy a definir qué analizará la primera versión y en qué casos tendría sentido revisar varios intentos de acceso. Un intento fallido puede ser un error al escribir la contraseña; necesito tener en cuenta el contexto al plantear las reglas.
El siguiente paso
Elegir un formato de log y preparar unos ejemplos de prueba. A partir de ahí empezaré con un script pequeño que lea el archivo, y añadiré el análisis poco a poco, documentando cada avance en GitHub.