Adaz: مختبر اصطياد Active Directory في Azure

يتيح لك هذا المشروع إنشاء مختبرات Active Directory في Azure بسهولة مع محطات عمل منضمة إلى المجال، وWindows Event Forwarding، وKibana، وSysmon باستخدام Terraform/Ansible.

يوفر ملف إعدادات عالي المستوى لمجالك بحيث يسمح لك بتخصيص المستخدمين والمجموعات ومحطات العمل.

dns_name: hunter.lab
dc_name: DC-1

initial_domain_admin:
 username: hunter
 password: MyAdDomain!

organizational_units: {}

users:
- username: christophe
- username: dany

groups:
- dn: CN=Hunters,CN=Users
 members: [christophe]

default_local_admin:
 username: localadmin
 password: Localadmin!

workstations:
- name: XTOF-WKS
 local_admins: [christophe]
- name: DANY-WKS
 local_admins: [dany]

enable_windows_firewall: yes

الميزات

• Windows Event Forwarding مهيأ مسبقًا
• سياسات التدقيق مهيأة مسبقًا
• تثبيت Sysmon
• السجلات مركزية في مثيل Elasticsearch يمكن الاستعلام عنها بسهولة من واجهة Kibana
• يمكن إعداد المجال بسهولة عبر ملف إعدادات YAML

فيما يلي مقارنة غير مكتملة ومتحيزة مع DetectionLab:

حالات الاستخدام

• هندسة الاكتشاف: إن الوصول إلى مختبر نظيف بإعداد معياري هو وسيلة رائعة لفهم الآثار التي تتركها الهجمات الشائعة وتقنيات الحركة الجانبية.

• تعلّم Active Directory: كثيرًا ما أحتاج إلى اختبار GPOs أو ميزات AD متنوعة (AppLocker، LAPS...). ويعد امتلاك مختبر يمكن التخلص منه أمرًا ضروريًا لذلك.

لقطات الشاشة

البدء

المتطلبات الأساسية

• اشتراك في Azure. يمكنك إنشاء واحد مجانًا وستحصل على 200 دولار من الأرصدة لأول 30 يومًا. لاحظ أن هذا النوع من الاشتراكات له حد أقصى يبلغ 4 وحدات معالجة مركزية افتراضية (vCPU) لكل منطقة، وهو ما لا يزال يسمح لك بتشغيل وحدة تحكم بالمجال واحدة ومحطتي عمل (مع تكوين المختبر الافتراضي).

• مفتاح SSH في ~/.ssh/id_rsa.pub. يجب إما إضافة مفتاحك الخاص إلى ssh-agent (عادةً عن طريق تشغيل ssh-add ~/.ssh/id_rsa مرة واحدة وإضافة eval "$(ssh-agent -s)" في .bashrc) أو عدم تشفيره بعبارة مرور.

• Terraform >= 0.12

• Azure CLI

• يجب أن تكون مسجلًا الدخول إلى حساب Azure الخاص بك عن طريق تشغيل az login. يمكنك استخدام az account list للتأكد من أن لديك حق الوصول إلى اشتراك Azure الخاص بك.

التثبيت

• استنساخ هذا المستودع

git clone https://github.com/christophetd/Adaz.git

• إنشاء بيئة افتراضية وتثبيت تبعيات Ansible

# Note: the virtual env needs to be in ansible/venv
python3 -m venv ansible/venv 
source ansible/venv/bin/activate
pip install -r ansible/requirements.txt
deactivate

• تهيئة Terraform

cd terraform
terraform init

الاستخدام

يمكنك اختياريًا تعديل domain.yml وفقًا لاحتياجاتك (المرجع هنا)، ثم تشغيل:

terraform apply

يستغرق إنشاء الموارد وتجهيزها من 15 إلى 20 دقيقة. وبمجرد الانتهاء، ستحصل على مخرجات مشابهة لما يلي:

dc_public_ip = 13.89.191.140
kibana_url = http://52.176.3.250:5601
what_next =
####################
###  WHAT NEXT?  ###
####################

Check out your logs in Kibana:
http://52.176.3.250:5601

RDP to your domain controller:
xfreerdp /v:13.89.191.140 /u:hunter.lab\\hunter '/p:Hunt3r123.' +clipboard /cert-ignore

RDP to a workstation:
xfreerdp /v:52.176.5.229 /u:localadmin '/p:Localadmin!' +clipboard /cert-ignore


workstations_public_ips = {
  "DANY-WKS" = "52.165.182.15"
  "XTOF-WKS" = "52.176.5.229"
}

لا تقلق إذا رأيت أثناء الإعداد بعض الرسائل التي تبدو مثل FAILED - RETRYING: List Kibana index templates (xx retries left)

بشكل افتراضي، يتم نشر الموارد في منطقة West Europe ضمن مجموعة موارد ad-hunting-lab. يمكنك التحكم في المنطقة باستخدام متغير Terraform:

terraform apply -var 'region=East US 2'

التوثيق

• الأسئلة الشائعة
• مرجع domain.yml
• سياسات التدقيق المُفعّلة
• البنية التفصيلية
• استكشاف المشكلات الشائعة وإصلاحها
• العمليات الشائعة: إضافة المستخدمين، تدمير المختبر، إلخ.
• هيكل المشروع وتنظيم الدلائل
• متغيرات Terraform المتوفرة

المجتمع

محاضرات / منشورات تشير إلى Adaz:

• الفرق الأرجوانية لهوية السحابة: مختبرات محاكاة للفرق الحمراء والزرقاء
• (بالفرنسية) HoneyWISE : stratégie d’exploitation d’honeytokens en environnement Active Directory

خارطة الطريق

سأعتمد بشكل كبير على عدد أصوات الإعجاب التي ستتركها على feature-proposal issues لتحديد الميزات القادمة!

الاقتراحات والأخطاء

لا تتردد في فتح issue أو التغريد إلى @christophetd.