Ludus Defender Lab

Ludus-Range-Konfiguration und Ansible-Rollen für ein Windows-Sicherheitslabor, das für MDE und MDI vorbereitet ist, mit einer vollständig fehlkonfigurierten ADCS-Installation zum Testen der Erkennungsabdeckung.

Anforderungen

• Ludus installiert und konfiguriert
• LUDUS_API_KEY in Ihrer Umgebung gesetzt
• VM-Template: win2022-server-x64-template

Bereitstellung

# Install roles (run on Ludus host with API key set)
cd roles/
./install-roles.sh

# Set config and deploy
ludus range config set -f zsec-mde-mdi-lab.yml
ludus range deploy

MDE und MDI werden nicht automatisch installiert. Führen Sie das Onboarding für beide über security.microsoft.com durch, sobald die Range läuft:

1. MDE — Endpunkte → Geräteverwaltung → Onboarding → Windows Server 2022. Führen Sie das Onboarding-Skript auf DC01 und WKS01 aus.
2. MDI — Einstellungen → Identitäten → Sensoren → Sensor hinzufügen. Laden Sie den Sensor-Installer herunter und führen Sie ihn auf DC01 aus.

# Snapshot after onboarding so you can revert without repeating the process
ludus range snapshot create --name post-onboarding

Umgebungseinstellungen

Umgebungsspezifische Werte (Domainname, Passwörter, Hostnamen) erscheinen inline in der gesamten Konfiguration. Eine Referenztabelle am Anfang der Datei listet jeden Wert und seine Verwendung auf — aktualisieren Sie diese vor der Bereitstellung per Suchen-und-Ersetzen.

Gemeinsame MDE-Voraussetzungseinstellungen befinden sich in global_role_vars (werden auf alle VMs angewendet). DC-spezifische Überschreibungen befinden sich in role_vars von DC01 und haben automatisch Vorrang.

Zusammengesetzte FQDNs in dns_rewrites und SPN-Zeichenfolgen müssen separat aktualisiert werden.

Rollen

Alle Rollen befinden sich in roles/. Das Installationsskript übernimmt alles.

Community-Rolle installiert über Ansible Galaxy: badsectorlabs.ludus_adcs (DC01).

Danksagungen

enable_asr und enable_mdi_gpo sind abgeleitet von der Arbeit von @curi0usJack unter curi0usJack/Ludus-MDE-MDI-Roles. Dieses Repository erweitert diese Rollen zu einem einheitlichen DC↔WKS-Setup und fügt die ADCS-Fehlkonfigurationsebene, die Härtung der MDE-Voraussetzungen, die WEF-Pipeline sowie zusätzliche Rollen hinzu.

Das AD-CS-Labor ist ein Auszug aus meinem Kurs