ADTrapper - Plateforme d'analyse de sécurité Active Directory

Présentation

ADTrapper est une plateforme complète d'analyse de sécurité conçue pour les professionnels de la cybersécurité afin d'analyser les journaux d'authentification Windows Active Directory. La plateforme offre une détection avancée des menaces, une analyse des anomalies et des visualisations interactives pour aider à identifier et enquêter sur les incidents de sécurité.

Fonctionnalités clés

• 54+ Règles de détection – Force brute, pulvérisation de mots de passe, escalade de privilèges, attaques ADCS et plus
• Visualisations interactives – Graphiques orientés par force pour les relations réseau
• Intégration SharpHound – Importez les données de collecte BloodHound pour l'analyse AD
• Aucune authentification requise – Téléversements anonymes, commencez l'analyse immédiatement
• Déploiement Docker autonome – Une seule commande pour tout lancer

Démarrage rapide

Prérequis

• Docker et Docker Compose
• Git

1. Cloner et configurer

git clone https://github.com/MHaggis/ADTrapper.git
cd ADTrapper

# Copy the example environment file
cp env.example .env

# (Optional) Generate a secure password for production
# echo "POSTGRES_PASSWORD=$(openssl rand -base64 32)" >> .env

2. Démarrer les services

# Option 1: Use the deployment script (recommended)
./deploy.sh

# Option 2: Manual startup
docker compose up -d
docker compose exec -T database psql -U postgres < supabase/migrations/0001_simple_setup.sql

3. Accéder à l'application

• Application : http://localhost:3000
• Base de données : localhost:54325 (si nécessaire pour un accès direct)

Aucune authentification requise – commencez à téléverser les journaux immédiatement !

Collecte de données

Journaux d'authentification Windows

Utilisez le script PowerShell fourni pour collecter les journaux d'authentification. Exécutez en tant qu'Administrateur pour un accès complet :

# Show help and all options
Get-Help .\capture.ps1 -Detailed

# Basic collection (last 24 hours)
.\capture.ps1

# Extended collection with AD enrichment
.\capture.ps1 -Hours 48 -EnrichWithAD

# Include AD CS certificate events (for ADCS attack detection)
.\capture.ps1 -ADCS -EnrichWithAD

# Full collection with raw CA database analysis (CA servers only)
# WARNING: This stops the Certificate Authority service temporarily!
.\capture.ps1 -ADCS -RawDatabase -EnrichWithAD

# Export as CSV instead of JSON
.\capture.ps1 -Hours 24 -Format csv -OutputPath C:\Logs\events.csv

Fonctionnalités du collecteur

Types d'événements pris en charge

Événements d'authentification :

• 4624/4625 : Succès/échec de connexion
• 4634/4647 : Événements de déconnexion
• 4648 : Utilisation explicite des informations d'identification
• 4768/4769/4771 : Authentification Kerberos
• 4776 : Authentification NTLM
• 4740/4742 : Verrouillage/modification de compte

Événements AD CS (avec -ADCS) :

• Demandes et délivrance de certificats
• Modifications de modèle
• Modifications de sécurité de l'autorité de certification
• Indicateurs d'attaque ESC1-ESC11

Événements SMB :

• 5140/5145 : Accès et énumération de partage

Intégration SharpHound

ADTrapper prend en charge les données SharpHound pour une analyse AD complète :

SharpHound.exe -c All -d YOURDOMAIN.COM --outputdirectory C:\Temp\

Téléversez le fichier ZIP généré dans ADTrapper pour une analyse automatique.

Gestion des conteneurs

# View status
docker compose ps

# View logs
docker compose logs -f app
docker compose logs -f database

# Restart services
docker compose restart

# Stop services
docker compose down

# Fresh deployment (WARNING: deletes all data)
./deploy-fresh.sh

Sauvegarde et restauration de la base de données

# Backup
docker compose exec database pg_dump -U postgres postgres > backup.sql

# Restore
docker compose exec -T database psql -U postgres postgres < backup.sql

Configuration

Variables d'environnement

Voir env.example pour toutes les options disponibles :

Dépannage

Tables de base de données introuvables (erreurs 500) :

docker compose exec -T database psql -U postgres < supabase/migrations/0001_simple_setup.sql

Conflits de ports :

lsof -i :3000
lsof -i :54325

L'application ne répond pas :

docker compose logs app
docker compose restart

Déploiement en production

Pour les déploiements en production :

1. Définissez un POSTGRES_PASSWORD sécurisé dans votre fichier .env
2. Activez HTTPS avec des certificats SSL appropriés
3. Configurez des règles de pare-feu pour restreindre l'accès à la base de données
4. Mettez en place des sauvegardes régulières de la base de données
5. Envisagez d'utiliser un proxy inverse (nginx, traefik)

Options de déploiement cloud

• AWS ECS/Fargate avec RDS PostgreSQL
• Google Cloud Run avec Cloud SQL
• Azure Container Instances avec PostgreSQL
• DigitalOcean App Platform

Stack technique

• Frontend : Next.js 14, TypeScript, Tailwind CSS
• Backend : Node.js 20 LTS, PostgreSQL 15
• Déploiement : Conteneurs Docker avec Docker Compose
• Visualisation : Canvas personnalisé avec simulation de force
• CI/CD : GitHub Actions avec tests automatisés et analyses de sécurité

Contribution

Nous accueillons les contributions :

1. Forkez le dépôt
2. Créez une branche de fonctionnalité
3. Effectuez vos modifications avec des tests
4. Soumettez une demande de tirage (pull request)

Licence

Licence Apache 2.0 - voir le fichier LICENSE