Laboratoire d'investigation SOC de bout en bout

Exécute une chaîne d'attaque complète en quatre phases (Reconnaissance → Exploitation → Persistance → Exfiltration) contre Metasploitable2, collecte des preuves à chaque phase et produit une chronologie d'incident structurée et un rapport SOC — démontrant une réflexion simultanée d'attaquant et de défenseur.

Objectif

Ceci est le projet de synthèse. Il démontre la capacité à :

Exécuter une chaîne de destruction réaliste contre une cible délibérément vulnérable
Collecter des preuves forensiques à chaque étape en utilisant plusieurs sources de télémétrie
Corréler les entrées de journaux de systèmes disparates en une chronologie d'incident unifiée
Effectuer une analyse des lacunes de visibilité — en identifiant ce qui aurait été manqué sans une couverture de détection adéquate
Produire un rapport d'incident de niveau SOC dans le format utilisé par les équipes de sécurité réelles

L'exploit utilisé (CVE-2011-2523 — backdoor vsftpd 2.3.4) est historiquement significatif : il s'agissait d'une attaque de la chaîne d'approvisionnement où un adversaire a injecté une porte dérobée dans le dépôt source du paquet open-source vsftpd.

╔═══════════════════════════════╗ ║ soc-lab (172.23.0.0/24) ║ ║ ║ ┌─────────────┐ ║ ┌─────────────────────────┐ ║ │ Attacker │ ║ │ Metasploitable2 │ ║ │ Kali Linux │ ║ │ 172.23.0.200 │ ║ │ │ ║ │ │ ║ │ Phase 1 │─────╫─►│ :21 vsftpd 2.3.4 ◄───╫──╫── CVE-2011-2523 │ nmap -A │ ║ │ :22 SSH │ ║ backdoor on :6200 │ │ ║ │ :80 HTTP (DVWA) │ ║ │ Phase 2 │─────╫─►│ :445 Samba │ ║ │ msf exploit│◄────╫──│ :6200 root shell │ ║ │ │ ║ └─────────────────────────┘ ║ │ Phase 3 │─────╫─► useradd sysbackup ║ │ persistence│─────╫─► crontab reverse shell ║ │ │ ║ ║ │ Phase 4 │◄────╫── /etc/shadow via nc :5555 ║ │ exfiltration ╚═══════════════════════════════╝ └──────┬──────┘ │ │ Evidence collection: │ logs/msf_session.log │ logs/target_auth.log │ captures/full_attack_chain.pcap (tshark CSV) ▼ ┌──────────────────────────────────────────────────┐ │ build_timeline.py │ │ Parser: MSF log + auth.log + tshark CSV │ │ → merge by timestamp → tag by phase │ │ → JSON timeline + Markdown incident report │ └──────────────────────────────────────────────────┘

Outil	Objectif
Metasploitable2	Cible Linux délibérément vulnérable
Nmap 7.94	Phase 1 : Énumération des services
Metasploit 6.x	Phase 2 : Exploit vsftpd 2.3.4
Netcat	Phases 3–4 : Persistance + exfiltration
tshark	Capture de paquets tout au long de toutes les phases
Python 3	`build_timeline.py` — fusionneur de journaux multi-sources
Splunk Free / ELK	Détection SIEM spécifique à chaque phase

Phase	Preuve brute de journal	Détecté par règle SIEM	Manqué sans couverture
RECON	PCAP : Inondation SYN vers 24 ports	Règle de balayage de ports (>20 ports/10s) ✓	Scan lent (-T1) : contourne totalement le seuil de débit
EXPLOIT	PCAP : nouvelle connexion vers :6200 · Aucune entrée dans auth.log	Règle d'anomalie du port :6200 ✓	Si l'attaquant utilisait un exploit HTTP sur :80 — pas d'anomalie de port
PERSIST	auth.log : `new user: name=sysbackup`	Alerte de création de nouvel utilisateur ✓	Modification directe de `/etc/passwd` : aucun journal sans auditd
EXFIL	PCAP : 4 Ko sortant sur :5555	Règle de port non standard + taille ✓	Exfiltration DNS (enregistrements TXT) : contourne totalement les règles de volume

Limitation	Impact	Atténuation
vsftpd 2.3.4 est une vulnérabilité de 2011	Non représentatif des exploits modernes	Ajouter EternalBlue (MS17-010) comme scénario d'exploit alternatif
`build_timeline.py` utilise une classification par mots-clés	Classe incorrectement certains événements	Entraîner un classifieur NLP léger sur des données de journaux étiquetées
Aucune détection de point de terminaison (EDR)	Persistance au niveau fichier (authorized_keys) non capturée	Ajouter Wazuh ou Elastic Agent sur la cible
Exécution manuelle de la chaîne d'attaque	Non reproductible sans intervention interactive	Automatiser les phases 2 à 4 avec des scripts de ressources Metasploit

Référence	ID / Lien
CVE-2011-2523 — backdoor vsftpd 2.3.4	https://nvd.nist.gov/vuln/detail/CVE-2011-2523
MITRE ATT&CK — Exploitation d'application exposée au public	T1190
MITRE ATT&CK — Créer un compte : compte local	T1136.001
MITRE ATT&CK — Tâche planifiée/Job : Cron	T1053.003
MITRE ATT&CK — Exfiltration via canal C2	T1041
MITRE ATT&CK — Comptes valides	T1078

Populaires

soc-investigation-lab

Architecture

Outils et Stack

Configuration

Comment exécuter (Chaîne d'attaque)

Phase 1 — Reconnaissance

Phase 2 — Exploitation (CVE-2011-2523)

Phase 3 — Persistance

Phase 4 — Exfiltration

Construire la chronologie de l'incident

Exemple de sortie

`build_timeline.py` stderr

Chronologie de l'incident (extrait de `samples/sample_timeline.json`)

Analyse des lacunes de visibilité

Limitations et travaux futurs

Références

Structure du projet