ADTrapper - Plataforma de Análisis de Seguridad de Active Directory

Resumen

ADTrapper es una plataforma integral de análisis de seguridad diseñada para profesionales de la ciberseguridad que necesitan analizar registros de autenticación de Windows Active Directory. La plataforma ofrece detección avanzada de amenazas, análisis de anomalías y visualizaciones interactivas para ayudar a identificar e investigar incidentes de seguridad.

Características principales

• Más de 54 reglas de detección - Fuerza bruta, rociado de contraseñas, escalada de privilegios, ataques ADCS y más
• Visualizaciones interactivas - Grafos dirigidos por fuerzas para relaciones de red
• Integración con SharpHound - Subir datos de recolección de BloodHound para análisis de AD
• Sin autenticación requerida - Subidas anónimas, comience a analizar inmediatamente
• Despliegue Docker autocontenido - Un solo comando para ponerlo en marcha

Inicio rápido

Requisitos previos

• Docker y Docker Compose
• Git

1. Clonar y configurar

git clone https://github.com/MHaggis/ADTrapper.git
cd ADTrapper

# Copiar el archivo de entorno de ejemplo
cp env.example .env

# (Opcional) Generar una contraseña segura para producción
# echo "POSTGRES_PASSWORD=$(openssl rand -base64 32)" >> .env

2. Iniciar los servicios

# Opción 1: Usar el script de despliegue (recomendado)
./deploy.sh

# Opción 2: Inicio manual
docker compose up -d
docker compose exec -T database psql -U postgres < supabase/migrations/0001_simple_setup.sql

3. Acceder a la aplicación

• Aplicación: http://localhost:3000
• Base de datos: localhost:54325 (si se necesita acceso directo)

No se requiere autenticación: ¡empiece a subir registros inmediatamente!

Recolección de datos

Registros de autenticación de Windows

Utilice el script de PowerShell incluido para recopilar registros de autenticación. Ejecute como Administrador para acceso completo:

# Mostrar ayuda y todas las opciones
Get-Help .\capture.ps1 -Detailed

# Colección básica (últimas 24 horas)
.\capture.ps1

# Colección extendida con enriquecimiento de AD
.\capture.ps1 -Hours 48 -EnrichWithAD

# Incluir eventos de certificados de AD CS (para detección de ataques ADCS)
.\capture.ps1 -ADCS -EnrichWithAD

# Colección completa con análisis de base de datos CA sin procesar (solo servidores CA)
# ADVERTENCIA: ¡Esto detiene temporalmente el servicio de Certificate Authority!
.\capture.ps1 -ADCS -RawDatabase -EnrichWithAD

# Exportar como CSV en lugar de JSON
.\capture.ps1 -Hours 24 -Format csv -OutputPath C:\Logs\events.csv

Características del recolector

Tipos de eventos compatibles

Eventos de autenticación:

• 4624/4625: Inicio de sesión exitoso/fallido
• 4634/4647: Eventos de cierre de sesión
• 4648: Uso de credenciales explícitas
• 4768/4769/4771: Autenticación Kerberos
• 4776: Autenticación NTLM
• 4740/4742: Bloqueo/cambios de cuenta

Eventos de AD CS (con -ADCS):

• Solicitudes y emisión de certificados
• Modificaciones de plantillas
• Cambios de seguridad de CA
• Indicadores de ataque ESC1-ESC11

Eventos SMB:

• 5140/5145: Acceso y enumeración de recursos compartidos

Integración con SharpHound

ADTrapper soporta datos de SharpHound para un análisis completo de AD:

SharpHound.exe -c All -d SU.DOMINIO.COM --outputdirectory C:\Temp\

Subir el archivo ZIP generado a ADTrapper para análisis automático.

Gestión de contenedores

# Ver estado
docker compose ps

# Ver logs
docker compose logs -f app
docker compose logs -f database

# Reiniciar servicios
docker compose restart

# Detener servicios
docker compose down

# Despliegue fresco (ADVERTENCIA: elimina todos los datos)
./deploy-fresh.sh

Respaldo y restauración de base de datos

# Respaldo
docker compose exec database pg_dump -U postgres postgres > backup.sql

# Restauración
docker compose exec -T database psql -U postgres postgres < backup.sql

Configuración

Variables de entorno

Consulte env.example para todas las opciones disponibles:

Solución de problemas

Tablas de base de datos no encontradas (errores 500):

docker compose exec -T database psql -U postgres < supabase/migrations/0001_simple_setup.sql

Conflictos de puertos:

lsof -i :3000
lsof -i :54325

La aplicación no responde:

docker compose logs app
docker compose restart

Despliegue en producción

Para despliegues en producción:

1. Establezca una POSTGRES_PASSWORD segura en su archivo .env
2. Habilite HTTPS con certificados SSL adecuados
3. Configure reglas de firewall para restringir el acceso a la base de datos
4. Configure copias de seguridad periódicas de la base de datos
5. Considere usar un proxy inverso (nginx, traefik)

Opciones de despliegue en la nube

• AWS ECS/Fargate con RDS PostgreSQL
• Google Cloud Run con Cloud SQL
• Azure Container Instances con PostgreSQL
• DigitalOcean App Platform

Stack tecnológico

• Frontend: Next.js 14, TypeScript, Tailwind CSS
• Backend: Node.js 20 LTS, PostgreSQL 15
• Despliegue: Contenedores Docker con Docker Compose
• Visualización: Canvas personalizado con simulación de fuerzas
• CI/CD: GitHub Actions con pruebas automatizadas y escaneos de seguridad

Contribuciones

Aceptamos contribuciones:

1. Haga un fork del repositorio
2. Cree una rama de funcionalidad
3. Realice sus cambios con pruebas
4. Envíe un pull request

Licencia

Apache License 2.0 - ver archivo LICENSE