Splunk Attack Range v5

Le Splunk Attack Range construit des environnements cloud instrumentés (AWS, Azure, GCP), simule des attaques et transmet les données vers Splunk pour le développement et les tests de détection.

Ce qu'il fait :

• Construire des laboratoires — Déployer un petit laboratoire proche de la production (Splunk, serveurs Windows/Linux, Kali optionnel, Zeek, etc.) via Terraform et Ansible.
• Simuler des attaques — Exécuter des techniques Atomic Red Team (et autres) pour générer de la télémétrie réelle.
• Partager l'accès — Utiliser le VPN WireGuard ; générer des configurations client supplémentaires pour partager le range avec d'autres personnes.

Cliquez sur l'image pour regarder la démo 👇

---

Pour commencer

Recommandé : Docker Compose

1. Prérequis : Docker et Docker Compose. Configurez votre fournisseur cloud (AWS, Azure ou GCP) et montez les identifiants comme ci-dessous.

2. Cloner et démarrer :

   root@kitploit:~

   git clone <repo-url>
   cd attack_range_2
   docker compose -f docker/docker-compose.yml up
   

3. Utiliser l'application ou l'API :

   • Application web : ouvrez http://localhost:4321 — construire/détruire des ranges, voir le statut, lancer des simulations, partager l'accès.
   • API : http://localhost:4000 — API REST ; documentation interactive sur http://localhost:4000/openapi/swagger.

4. Construire un range (deux étapes) :

   • Dans l'application : choisissez un modèle (ex. aws/splunk_minimal_aws) et lancez la construction. Lorsque le statut est En attente du VPN, téléchargez la configuration WireGuard, connectez-vous avec WireGuard, puis continuez la construction.
   • Ou via l'API : POST /attack-range/build avec {"template": "aws/splunk_minimal_aws"}, interrogez GET /attack-range/status/<id>, utilisez la configuration WireGuard renvoyée, connectez-vous, puis POST /attack-range/build avec {"attack_range_id": "<id>"}.

5. CLI dans Docker (optionnel) :

   root@kitploit:~

   docker compose --profile cli -f docker/docker-compose.yml run --rm attack_range build -t aws/splunk_minimal_aws
   

   Autres actions : destroy, simulate, apply-role, share. Voir la documentation détaillée pour l'utilisation et les options de la CLI.

---

Méthodes d'exécution

---

Documentation

• Documentation complète (Read the Docs) : https://attack-range.readthedocs.io/
• Chapitres : Pour commencer, Configuration, Réseau, Partage, Modèles, Rôles Ansible

---

Référence rapide

• Configurations : Chaque range a une configuration dans config/<attack_range_id>.yml. Les modèles se trouvent dans templates/{aws,azure,gcp}/.
• Identifiants : Configurez ~/.aws, ~/.azure ou ~/.config/gcloud et montez-les dans les conteneurs (voir docker/docker-compose.yml).
• Support : Problèmes GitHub et CONTRIBUTING.

---

Support

Veuillez utiliser le suivi des problèmes GitHub pour signaler des bugs ou demander des fonctionnalités.

Si vous avez des questions ou besoin de support, vous pouvez :

• Rejoindre le salon #security-research dans le canal Splunk Slack
• Poster une question sur Splunk Answers
• Si vous êtes un client Splunk Enterprise avec un contrat de support valide et avez une question liée à Splunk, vous pouvez également ouvrir un ticket de support sur le portail de support https://www.splunk.com/

---

Contribution

Nous accueillons les retours et les contributions de la communauté ! Veuillez consulter nos directives de contribution pour plus d'informations sur la façon de participer.

---

Auteur

• Jose Hernandez
• Patrick Bareiß

Contributeurs

• Bhavin Patel
• Rod Soto
• Russ Nolen
• Phil Royer
• Joseph Zadeh
• Rico Valdez
• Dimitris Lambrou
• Dave Herrald
• Ignacio Bermudez Corrales
• Peter Gael
• Josef Kuepker
• Shannon Davis
• Mauricio Velazco
• Teoderick Contreras
• Lou Stella
• Christian Cloutier
• Eric McGinnis
• Micheal Haag
• Gowthamaraj Rajendran
• Christopher Caldwell
• Zachary Christensen
• JerinSaji0
• Michal Cichorz