Impresionantes laboratorios de seguridad en la nube

Una lista de laboratorios gratuitos de aprendizaje de seguridad nativa de la nube. Incluye CTF, talleres autoalojados, laboratorios de vulnerabilidades guiados y laboratorios de investigación.

Ordenados por tecnología y categoría

AWS

The Ultimate Cloud Security Championship: Un desafío CTF mensual, con retos seleccionados por un investigador estrella de Wiz. Los desafíos y la tabla de clasificación están alojados por Wiz.

CloudFoxable: Crea tu propio entorno de pruebas de pentesting en AWS, vulnerable por diseño.

Pwned Labs: Requiere iniciar sesión. Ofrece suscripciones de pago. Laboratorios alojados gratuitos para aprender seguridad en la nube.

The Big IAM Challenge: Desafío CTF para identificar y explotar malas configuraciones de IAM.

The Cloud Hunting Games: Desafío CTF de ransomware diseñado para enseñar investigación en la nube del mundo real basada en TTPs observados en la naturaleza.

CloudSec Tidbits: Tres fallos de seguridad en aplicaciones web específicos de AWS, autoalojados con terraform.

AWS CIRT Workshop: Crea en tu propia cuenta de AWS y explora 5 escenarios comunes de respuesta a incidentes observados por el equipo AWS CIRT.

CloudGoat: Laboratorios de seguridad de AWS vulnerables por diseño con guía paso a paso.

Attacking and Defending Serverless Applications: Ataca y defiende una Lambda que creas en tu propia cuenta de AWS con el terraform y los scripts proporcionados por el autor. Muy educativo, con ambiente de taller.

IAM Vulnerable: Usa Terraform para crear tu propio entorno de escalada de privilegios en AWS IAM, vulnerable por diseño, con 31 rutas de ataque de escalada de privilegios. Documentación muy sólida.

flaws.cloud: Desafío por niveles y pistas.

flaws2.cloud: Desafío con rutas de atacante y defensor.

CI/CDon't: Un desafío CTF de CI/CD vulnerable alojado en tu cuenta de AWS con terraform. Incluye una guía paso a paso.

AWSGoat: Una infraestructura AWS extremadamente vulnerable con dos manuales de ataque y defensa.

Sadcloud: Crea servicios de AWS vulnerables sin una guía que muestre las vulnerabilidades.

DVCA: Despliega una Damn Vulnerable Cloud Application en tu propia cuenta de AWS para practicar escalada de privilegios.

lambhack: Despliega una aplicación serverless AWS Lambda muy vulnerable en tu cuenta de AWS.

AWSCloudPentest: Despliega escenarios vulnerables de AWS en tu cuenta con terraform y aprende a explotarlos. Tiene un canal de YouTube complementario [canal[(https://www.youtube.com/@punitdarji1871).

AWS Well-Architected Security Workshop: Laboratorios prácticos autodesplegados para ayudarte a aprender, medir y mejorar la seguridad de tu arquitectura usando las mejores prácticas del pilar de Seguridad del AWS Well-Architected Framework.

Azure

EntraGoat: Una infraestructura de Microsoft Entra ID deliberadamente vulnerable. Usa scripts de Powershell Graph SDK con una agradable interfaz web en NodeJS para la administración. Seis escenarios de rutas de ataque vulnerables con soluciones documentadas.

BadZure: Script de Powershell Graph SDK que levanta tu propio laboratorio de Azure AD (Entra ID) con rutas de ataque. Actualmente no hay guía paso a paso ni manual.

Broken Azure: Una infraestructura de Azure vulnerable por diseño que puedes atacar.

Mandiant Azure Workshop: Laboratorio de Azure vulnerable por diseño con dos escenarios que creas en tu propio inquilino de Azure.

AzureGoat: Crea un módulo con terraform y sigue los manuales de ataque y defensa proporcionados.

XMGoat: Crea 5 escenarios en tu inquilino de Azure y sigue la documentación de soluciones proporcionada.

CONVEX: Levanta tres entornos Capture the Flag en tu inquilino de Azure con powershell.

GCP

| GCP CTF Workshop: Autoalojado, guía de laboratorio. Aloja en tu propia cuenta de GCP, crea con terraform mediante un script de configuración en bash; se incluyen solución y pistas.

GCP Goat (Josh Jebaraj): Aloja en tu propia cuenta de GCP y crea con los scripts proporcionados. Incluye un buen cuaderno de laboratorio guiado.

GCPGoat (ine-labs): Usa tu propia cuenta de GCP y crea un módulo con terraform. Incluye manuales de ataque y defensa.

Thunder CTF: Usa tu propia cuenta de GCP, 6 niveles, practica atacando proyectos de nube vulnerables en GCP.

Kubernetes

OWASP EKS Goat: Un entorno AWS EKS intencionalmente vulnerable que simula malas configuraciones del mundo real, fallos de IAM y escapes de pods, junto con un laboratorio práctico de defensa. Incluye más de 20 laboratorios de ataque-defensa que puedes desplegar y practicar de forma práctica.

K8s Lan Party: Adéntrate en una red llena de malas configuraciones y explota vulnerabilidades con el objetivo de conquistar un clúster de Kubernetes; con tabla de clasificación y requiere registro.

EKS Cluster Games: Pod EKS vulnerable con desafíos de banderas en el entorno; con tabla de clasificación y requiere registro.

Bustakube: Descarga un clúster K8S vulnerable como máquinas virtuales que puedes importar y ejecutar localmente en VMWare.

Kubernetes Goat: Crea y aloja en tu propia cuenta de nube (GKE, EKS, AKS) o K3S y ataca. Incluye un cuaderno guiado.

Kubecon NA 2019 CTF: Increíble CTF que creas en tu cuenta de GCP. Incluye un cuaderno guiado con dos escenarios de ataque y defensa, además de desafíos adicionales.

Kube Security Lab: Un excelente laboratorio local para crear 14 clústeres de Kubernetes vulnerables con Docker, Ansible y Kind. Atácalos después de crearlos y luego destrúyelos. Incluye guías paso a paso.

Contenedores

Container Security 101: Un taller de vulnerabilidades guiado alojado en tu cuenta de AWS. El autor ha proporcionado un buen laboratorio que sigues en la página web; creas una VM con CloudFormation y luego un contenedor.

Contained.af: Un desafío de escape de contenedores; sal de él y envía un correo al autor.

Terraform

TerraGoat: Repositorio de terraform vulnerable por diseño.

Laboratorios de investigación

PurpleCloud: Con Python y terraform, crea tu propio laboratorio de seguridad en Azure.

SimuLand: Con plantillas de Azure RM, crea tu propio laboratorio de seguridad en Azure.

CNAPPgoat: Con Pulumi, aprovisiona de forma modular componentes vulnerables por diseño en AWS, GCP y Azure. Las vulnerabilidades son escenarios modulares sin guía paso a paso por el momento.

CI/CD

CI/CD Goat: Entorno CI/CD deliberadamente vulnerable; hackea pipelines de CI/CD con CTF. Aloja localmente con Docker.

Github Actions Goat: Entorno CI/CD de Github Actions deliberadamente vulnerable, alojado en tu propia cuenta de Github. Incluye descripciones de escenarios de amenaza mapeadas con vulnerabilidades.

PaaS

PaaS Cloud Goat: Una aplicación Salesforce vulnerable simulada, alojada en tu propia cuenta de SF. Simula una aplicación personalizada desplegada con pruebas de seguridad y documentación que puedes usar para aprender.