🛡️ CVE-2007-2447 Exploitation & SIEM Detection Lab (Wazuh + MITRE ATT&CK)

B.Tech-Projekt (BTP) | IIIT Pune Basierend auf: „Designing and Implementing an Effective Cybersecurity Home Lab for Detection and Monitoring" — ICCCNT 2023, IIT Delhi

Ein voll funktionsfähiges Cybersecurity-Heimlabor auf einem einzigen Rechner, aufgebaut mit freien und Open-Source-Tools. Das Labor simuliert einen realistischen Angriffslebenszyklus — Reconnaissance → Exploitation → Detection — und zeigt, wie ein SIEM Angriffe in Echtzeit erkennen und der MITRE ATT&CK-Matrix zuordnen kann.

📐 Laborarchitektur

┌─────────────────────────────────────────────────┐
│           VirtualBox — Internal Network          │
│              (cyberlab, 10.0.0.x/24)             │
│                                                  │
│  ┌──────────┐   ┌──────────────┐   ┌──────────┐ │
│  │  Kali    │   │ Metasploitable│  │  Ubuntu  │ │
│  │ 10.0.0.1 │◄─►│   10.0.0.2   │◄─►│ 10.0.0.3 │ │
│  │ ATTACKER │   │    VICTIM     │  │   SIEM   │ │
│  └──────────┘   └──────────────┘   └──────────┘ │
└─────────────────────────────────────────────────┘
         Host-Only Adapter (192.168.56.103)
         → Wazuh Dashboard-Zugriff über den Browser

VM	Rolle	IP	Tools
Kali Linux 2026.1	Angreifer	10.0.0.1	Nmap, Metasploit
Metasploitable 2	Opfer	10.0.0.2	20+ Schwachstellen
Ubuntu 22.04 + Wazuh	SIEM	10.0.0.3	Wazuh v4.7.5

Tool	Version	Zweck
VirtualBox	7.x	Hypervisor — betreibt alle VMs auf einem Host
Kali Linux	2026.1	Penetrationstest-Betriebssystem (offensiv)
Metasploitable 2	v2.0	Absichtlich verwundbares Zielsystem
Wazuh	v4.7.5	Open-Source-SIEM (defensiv)
Nmap	Aktuell	Netzwerk-/Portscanning
Metasploit Framework	Aktuell	Exploitation-Framework

Port	Dienst	Version
21/tcp	FTP	vsftpd 2.3.4
22/tcp	SSH	OpenSSH 4.7p1
80/tcp	HTTP	Apache 2.2.8
139/445	SMB	Samba 3.x–4.x
3306/tcp	MySQL	5.0.51a
5432/tcp	PostgreSQL	8.3

Regel-ID	Beschreibung	MITRE-Technik	Taktik
5402	Erfolgreiches sudo zu ROOT ausgeführt	T1548.003	Privilege Escalation
5501	PAM: Login-Sitzung geöffnet	T1078	Initial Access / Persistence
5502	PAM: Login-Sitzung geschlossen	T1078	Defense Evasion
502	Wazuh-Server gestartet	—	Erkennung aktiv

Beliebteste

CVE-2007-2447-Exploitation-SIEM-Detection-Lab

🧰 Tools & Technologien

🔧 Setup-Anleitung

Voraussetzungen

Schritt 1 — Netzwerkkonfiguration in VirtualBox

Schritt 2 — Kali Linux (Angreifer)

Schritt 3 — Metasploitable 2 (Opfer)

Schritt 4 — Ubuntu + Wazuh SIEM (Verteidiger)

Schritt 5 — Metasploitable über Syslog mit Wazuh verbinden

⚔️ Angriffssimulation

Phase 1 — Reconnaissance (Nmap)

Phase 2 — Exploitation (Metasploit)

Phase 3 — Erkennung (Wazuh SIEM)

📊 Wichtigste Ergebnisse

📁 Repository-Struktur

🔗 Referenz

⚠️ Haftungsausschluss