Aller au contenu

Home lab

Une petite entreprise, recréée à la maison

Je construis chez moi le réseau d'une petite entreprise pour me former au métier d'analyste SOC. Ce lab me permet d'apprendre par la pratique, de m'entraîner à analyser les événements de sécurité et de documenter ma progression.

Vue arrière du homelab : routeur GL.iNet, switch Netgear et deux mini-PC Lenovo reliés par Ethernet
Le matériel du lab et son câblage réseau — octobre 2026.

État du lab

Point au

Deux hôtes opérationnels, un domaine Active Directory et un seul agent Wazuh : DC01. Une première création de compte AD a été retrouvée dans le SIEM.

Opérationnel

  • pve1 et pve2 : Proxmox VE 9.2 sur NVMe Samsung 512 Go, ext4 et LVM-thin. pfSense assure le routage et le filtrage inter-VLAN.
  • DC01 : Windows Server 2025, AD DS et DNS opérationnels. Domaine ad.lab.internal, OU, comptes fictifs et stratégies de sécurité configurés.
  • Wazuh : Manager, Indexer et Dashboard actifs ; agent DC01 (001) actif. Événement Windows 4720 observé dans Threat Hunting.
  • Sauvegardes pfSense/Wazuh : dimanche à 01h00, snapshot, ZSTD, rétention de 4. Disque SATA séparé, mais dans le même hôte : pas de copie externe.

En préparation

  • Vérifier et nettoyer le compte de test soc.wazuh ; planifier la sauvegarde de DC01.
  • Préparer Windows 11 sur le VLAN 30 et sa jonction au domaine, avec les règles inter-VLAN nécessaires.
  • Préparer les GPO des postes, Sysmon et l'agent Wazuh ; la collecte Windows 11 reste à valider.

Prévu

  • Mini baie GeeekPi DeskPi RackMate T1 Plus, 10 pouces et 8U, pour accueillir le matériel ; pas encore installée.
  • Suricata pour la détection réseau et TheHive pour la gestion des incidents.
  • Serveur Linux en DMZ, poste d'attaque et scénarios de détection.
  • Forensics Windows et réseau, puis assistant SOC local à étudier selon les ressources.

Pas encore déployé ni testé dans cette infrastructure.

Prochaine étape — Poste Windows et consolidation

Nettoyer le compte de test et prévoir la sauvegarde de DC01, puis joindre un poste Windows 11 au domaine. Sysmon, l'agent Wazuh et les GPO du poste viendront compléter la collecte déjà validée sur le contrôleur de domaine.

Consulter le journal du homelab →

Le parcours visé

L'infrastructure se construit progressivement pour pratiquer cette boucle d'analyse SOC.

  1. 01

    Construire l'entreprise

    Deux hyperviseurs, pfSense et le domaine ad.lab.internal sont opérationnels. Le poste employé Windows 11 reste à déployer et à joindre au domaine.

  2. 02

    La surveiller

    DC01 est l'unique agent Wazuh actif. Sa collecte du journal Security est validée par l'événement 4720 ; Sysmon sur Windows 11 viendra ensuite.

  3. 03

    L'attaquer

    Une fois la collecte validée, je prévois des exercices contrôlés depuis le VLAN ATTACK, puis des scénarios avec la DMZ.

  4. 04

    Investiguer et rédiger

    Premier exercice : qualifier une création de compte AD autorisée, sans la confondre avec une compromission. Les autres write-ups d'entraînement sont disponibles séparément.

    Lire les write-ups

Réseau

Le Beryl sépare le lab du réseau domestique. Les ports 2 et 3 du GS308E transportent les VLAN vers pve1 et pve2, via vmbr0 VLAN aware. pfSense assure le routage et le filtrage ; DC01 → Wazuh est validé sur TCP 1514–1515. Cela ne valide pas tous les flux inter-VLAN : les accès AD du futur poste restent à définir, sans ouvrir les interfaces d'administration à tous les VLAN.

  • VLAN 1

    Admin

    192.168.8.0/24

    Routeur, switch, Proxmox, portable d'admin

  • VLAN 20

    Serveurs

    10.0.20.0/24

    DC01 · 10.0.20.10 · Windows Server 2025, AD DS et DNS opérationnels

  • VLAN 30

    Clients

    10.0.30.0/24

    Prévu : Windows 11, Sysmon et agent Wazuh

  • VLAN 40

    Attaque

    10.0.40.0/24

    Prévu : poste d'attaque et exercices contrôlés

  • VLAN 50

    SOC

    10.0.50.0/24

    Wazuh · 10.0.50.10 · 1 agent actif (DC01) · TheHive prévu

  • VLAN 60

    DMZ

    10.0.60.0/24

    Prévu : serveur Linux et services exposés pour les exercices

Implantation prévue dans la baie

Prévu

Mini baie 10 pouces 8U prévue pour accueillir le lab ; pas encore installée

  1. GL.iNet Beryl AX
  2. Netgear GS308E
  3. ThinkCentre M920q
  4. ThinkCentre M910q
GeeekPi DeskPi RackMate T1 Plus · 10 pouces · 8U

Matériel

  • GL.iNet Beryl AX GL-MT3000

    Opérationnel

    Routeur d'isolation entre le réseau domestique et le lab, dessert le réseau d'admin

    Wi-Fi
    Wi-Fi 6 (AX3000)
    WAN
    1 × 2,5 GbE
    LAN
    1 × 1 GbE
    OS
    OpenWrt + LuCI

  • Netgear GS308E v4

    Opérationnel

    Switch manageable, trunks 802.1Q qui portent les VLAN du lab jusqu'aux deux nœuds Proxmox

    Ports
    8 × 1 GbE
    VLAN
    802.1Q (20, 30, 40, 50, 60)
    Mirroring
    oui

  • ThinkCentre M920q

    Opérationnel

    pve2 (192.168.8.11), héberge pfSense CE 2.9.0 (VM 101, WAN 192.168.8.20) et Wazuh (VM 102, 10.0.50.10), qui collecte les événements de DC01

    CPU
    Intel Core i5-8500T (6 cœurs)
    RAM
    32 Go DDR4 (2 × 16 Go)
    Système / VM
    Samsung PM981a NVMe 512 Go, ext4 + LVM-thin
    Sauvegardes
    SSD SATA SHECDO 512 Go, ext4
    Hyperviseur
    Proxmox VE 9.2
    Réseau
    vmbr0 VLAN aware, port 3 du switch (trunk)

  • ThinkCentre M910q

    Opérationnel

    pve1 (192.168.8.10), héberge DC01 (VM 200, 10.0.20.10), Windows Server 2025 avec Active Directory, DNS et l'unique agent Wazuh du lab

    RAM
    16 Go
    Système / VM
    Samsung PM981a NVMe 512 Go, ext4 + LVM-thin
    Hyperviseur
    Proxmox VE 9.2
    Réseau
    vmbr0 VLAN aware, port 2 du switch (trunk)

Hors de la baie

  • Attaquant

    ThinkPad X230

    Prévu

    Poste attaquant sur le VLAN ATTACK, gardé hors de la baie

    OS
    Kali Linux / Parrot OS
    Réseau
    VLAN 40 (ATTACK)

Documentation