Obiectivul meu este să cresc în SOC, DFIR și ingineria securității.
A construi, a securiza, a apăra.
Aproape tot ce fac se învârte în jurul acestor trei verbe. Am în spate deployment în cloud și administrare de sisteme, așa că mai întâi am învățat să ridic infrastructură (arhitecturi de microservicii în AWS și Azure, baze de date, cache, orchestrare cu Kubernetes) și s-o automatizez cu pipeline-uri CI/CD în GitHub și GitLab.
Specializarea în securitate cibernetică a dus această practică spre abordarea DevSecOps: integrarea controalelor chiar în ciclul de dezvoltare, cu analiză de cod, scanarea dependențelor și verificarea containerelor înainte ca ceva să ajungă în producție.
Apoi am învățat să apăr ce construisem.
Am pus pe picioare medii Blue Team complete: SIEM cu Wazuh și regulile lui de detecție, automatizarea răspunsului prin SOAR, firewall-uri OPNsense, EDR și VPN, plus honeypot-uri expuse la internet. Faptul că vin din administrarea sistemelor îmi dă un avantaj aici: când știi cum arată o mașină sănătoasă, observi mult mai repede ce iese din normal.
Dar ce mă prinde cu adevărat este ce se întâmplă după atac.
Honeypot-ul meu primește zilnic încercări reale de intruziune, iar fiecare lasă o urmă de reconstituit: pe unde a intrat, ce comenzi a rulat, ce a descărcat și cât de departe a ajuns. Pentru asta mă bazez pe analiza memoriei și pe framework-ul MITRE ATT&CK, care îmi permite să clasific fiecare mișcare după tactici și tehnici cunoscute.
Iar ce iese de aici nu rămâne în laborator: raportez adresele IP atacatoare și încarc mostrele de malware pe platformele publice de threat intelligence, inclusiv mai multe binare pe care niciun motor antivirus nu le mai înregistrase.
De fapt...
Să vorbim despre realizări și cifre:
Date adunate din propriile mele honeypot-uri și laboratoare, actualizate în august 2026. Dacă te interesează, pot intra în detalii despre oricare dintre aceste contribuții.
Acesta este Dirtylands, un proiect Cowrie + Dionaea a cărui propunere de valoare este implementarea rapidă. Comenzi funcționale, un mediu realist, rigoare și maturitatea proiectului. În plus, are capacitatea deplină de a raporta fiecare eveniment prin Telegram și activitatea malițioasă către platformele respective și oferă observabilitate.
Tradus în 5 limbi: spaniolă, franceză, engleză, germană și bulgară.
Raport de expertiză asupra labului "Sysinternals" de pe CyberDefenders.org. Imagine .E01 analizată cu Autopsy și Registry Explorer, descărcare prin HTTP care se dă drept Microsoft, execuție ca SYSTEM, SHA-1 recuperat din Amcache, troianul Rozena, C2 și persistență printr-un serviciu. Include lanț de custodie și concluzii de expertiză.
Raport de expertiză asupra unei capturi de trafic de rețea (.PCAP) de la un calculator infectat cu Lumma Stealer. Analiză în Wireshark, identificarea hostului prin DHCP și Kerberos, beaconing HTTP către C2, exfiltrarea unor credențiale comprimate și cinci domenii malițioase verificate în VirusTotal. Include IoC-uri și lanț de custodie.
Raport de expertiză asupra unui dump de memorie RAM (.dmp) de la un calculator compromis de StrelaStealer. Analiză cu Volatility 3: procese orfane, lanț Living off the Land cu PowerShell, încărcare fileless a unui DLL prin WebDAV, conexiunea la C2 și injectare de cod în Thunderbird pentru furtul credențialelor.
Lucrarea 1: laborator IAM cu Keycloak pe Docker și WSL. Fluxuri OAuth 2.0 și OpenID Connect, anatomia celor trei tokenuri, PKCE, introspecție, rotație și revocare. Include erori provocate intenționat, cu răspunsul real al serverului.
Lucrarea 2: server de resurse în FastAPI care validează tokenuri JWT emise de Keycloak pe baza JWKS-ului său, verificând semnătura, emitentul, audiența, expirarea și rolurile. Include șase tipuri de eșec provocate intenționat, cu răspunsul real al API-ului.
Lucrarea 3: federarea Active Directory în Keycloak prin LDAPS. Controllerul de domeniu rulează în Hyper-V, iar Keycloak în Docker, în WSL2. Utilizatori care există doar în AD se autentifică prin OIDC, iar atributele și grupurile lor ajung în token. Include mapperi, ciclul de viață și conturi orfane.
Honeypot implementat în Azure cu port knocking dinamic prin iptables și alerte în timp real pe Telegram.
Pipeline DevSecOps complet pe GitLab CI/CD, care integrează SonarQube, GitLeaks, Snyk și OWASP ZAP pentru a analiza de la un capăt la altul calitatea și securitatea codului. Starea pipeline-ului se notifică automat și în timp real pe Discord.
Migrare lift & shift în AWS (IaaS) a unei aplicații web Java multi-tier construite mai întâi local. Servere Tomcat în spatele unui Elastic Load Balancer cu Auto Scaling, MariaDB, Memcached și RabbitMQ ca servicii de backend, DNS privat în Route 53, artefacte livrate din S3 și acces restrâns cu IAM.
Implementarea unui cluster Kubernetes gestionat în AWS cu EKS, pornind de la un cont nou-nouț. Consolidarea accesului cu utilizatori IAM și MFA, o alarmă de facturare în CloudWatch, VPC-ul cu subrețelele lui publice, grupul de noduri cu rolurile de care are nevoie și erorile reale apărute pe parcurs.
Proiect în care folosesc Ansible la nivel de bază, parcurgând toate modulele cursului de pe Udemy. În plus, a trebuit să înfrunt scenariul în care se pierd cheile .pem ale mașinii mele EC2 și încerc să-l rezolv.
Acest proiect de pe GitHub face parte din cursul "DevOps Beginners to Advanced" de pe Udemy. Constă în folosirea Vagrant, Nginx, Tomcat, RabbitMQ, Memcached și MySQL pentru a construi un site web.
Acest proiect arată crearea unui pipeline CI/CD cu servicii AWS pentru a gestiona, compila și implementa o aplicație web în AWS Elastic Beanstalk, integrând AWS CodePipeline, AWS CodeBuild și conexiunea la o bază de date AWS RDS. Ca repository git pentru codul sursă se folosește Bitbucket.
Acest proiect de pe GitHub face parte din cursul "DevOps Beginners to Advanced" de pe Udemy. Proiectul nostru anterior pe AWS implementa o aplicație web multi-tier cu Memcached, MySQL, Tomcat, RabbitMQ și un load balancer. Acum reconstruim totul cu servicii AWS precum ElastiCache, Amazon MQ, RDS și Beanstalk.
