Homelab de Cibersegurança: Por que Montei um SOC Pessoal com Proxmox e Wazuh

Ler sobre SIEM, Wazuh e resposta a incidentes é diferente de operar isso de verdade. Montei um homelab justamente para fechar essa distância entre teoria e prática — e testar coisas que nunca arriscaria testar em produção.

A base: Proxmox

Toda a infraestrutura corre sobre Proxmox VE, com VMs e contentores separados por VLAN: uma rede para os “alvos” (máquinas Windows e Linux vulneráveis de propósito), outra para as ferramentas de monitorização, e uma terceira isolada para experiências que não quero que toquem o resto do ambiente.

O stack de monitorização

• Wazuh como SIEM/XDR central — agentes nas VMs de “alvo”, regras personalizadas e integração com VirusTotal.
• Zabbix para monitorização de infraestrutura (CPU, disco, disponibilidade) — sinal operacional que também ajuda a diferenciar “problema de performance” de “possível incidente”.
• Segmentação de rede como primeira linha de defesa, não como redundância — se uma VM de teste for comprometida de propósito, o dano fica contido na VLAN isolada.

O que isto me ensinou

Simular um ataque e depois caçá-lo nos próprios logs do Wazuh mostra na prática onde a cobertura de deteção tem falhas — algo muito mais difícil de perceber só a ler documentação. É também onde testo, sem risco, integrações como a de resposta ativa com VirusTotal antes de sequer considerar algo parecido num ambiente real.

Um homelab bem estruturado não substitui experiência em produção, mas é o único lugar onde dá para quebrar coisas de propósito e aprender exatamente por que quebraram.