مختبر Ludus Defender

إعداد نطاق Ludus وأدوار Ansible لمختبر أمان Windows مُجهز مسبقًا لـ MDE وMDI، مع تثبيت ADCS غير صحيح التكوين بالكامل لاختبار تغطية الاكتشاف.

المتطلبات

• Ludus مثبّت ومُهيأ
• متغير LUDUS_API_KEY مضبوط في بيئتك
• قالب الجهاز الافتراضي: win2022-server-x64-template

النشر

# Install roles (run on Ludus host with API key set)
cd roles/
./install-roles.sh

# Set config and deploy
ludus range config set -f zsec-mde-mdi-lab.yml
ludus range deploy

لا يتم تثبيت MDE وMDI تلقائيًا. قم بتسجيل كلاهما من security.microsoft.com بعد تشغيل النطاق:

1. MDE — نقاط النهاية → إدارة الأجهزة → Onboarding → Windows Server 2022. شغّل سكربت الإعداد على كل من DC01 وWKS01.
2. MDI — الإعدادات → الهويات → أجهزة الاستشعار → إضافة مستشعر. نزّل مثبّت المستشعر وشغّله على DC01.

# Snapshot after onboarding so you can revert without repeating the process
ludus range snapshot create --name post-onboarding

إعدادات البيئة

تظهر القيم الخاصة بالبيئة (اسم المجال، كلمات المرور، أسماء المضيفين) بشكل مضمن في جميع أنحاء التهيئة. يسرد جدول مرجعي في أعلى الملف كل قيمة ومكان استخدامها — حدّثها باستخدام البحث والاستبدال قبل النشر.

الإعدادات المشتركة لمتطلبات MDE موجودة في global_role_vars (تُطبق على جميع الأجهزة الافتراضية). أما التجاوزات الخاصة بوحدات التحكم بالمجال فموجودة في role_vars الخاصة بـ DC01 وتأخذ الأولوية تلقائيًا.

أسماء FQDN المركبة في dns_rewrites وسلاسل SPN تحتاج إلى تحديث منفصل.

الأدوار

جميع الأدوار موجودة في roles/. سكربت التثبيت يتولى كل شيء.

دور مجتمعي مثبّت عبر Ansible Galaxy: badsectorlabs.ludus_adcs (DC01).

الاعتمادات

إن enable_asr وenable_mdi_gpo مشتقّان من عمل @curi0usJack في curi0usJack/Ludus-MDE-MDI-Roles. يوسّع هذا المستودع تلك الأدوار إلى إعداد موحّد DC↔WKS ويضيف طبقة سوء تهيئة ADCS، وتحصين متطلبات MDE، وخط أنابيب WEF، وأدوارًا إضافية.

مختبر AD CS هو مقتطف من دورتي