React2Shell(CVE-2025-55182) भेद्यता-आधारित घुसपैठ परिदृश्य को पुनरुत्पादित करने और Wazuh/Sysmon/Coraza WAF लॉग के माध्यम से सुरक्षा घटना का विश्लेषण एवं प्रतिक्रिया करने वाली DFIR परियोजना
इस प्रोजेक्ट का इंफ्रास्ट्रक्चर IaC (Terraform आदि) कोड से प्रबंधित नहीं किया गया है, बल्कि pfSense·Wazuh इंस्टॉल करने के बाद प्रबंधन स्क्रीन (GUI) में सीधे सेटिंग्स बदलने के तरीके से कॉन्फ़िगर किया गया है। इसलिए यहाँ "कोड" नहीं, बल्कि नेटवर्क संरचना आरेख, प्रत्येक सेटिंग स्क्रीन के कैप्चर, और कौन सा मान क्यों बदला गया, इसका रिकॉर्ड रखा गया है ताकि इसे दोबारा प्रस्तुत किया जा सके।
pfSense के आधार पर बाहरी (WAN) और आंतरिक (LAN) को अलग किया गया है, और स्विच के माध्यम से आंतरिक नेटवर्क को फिर से 4 खंडों में विभाजित किया गया है।
| विभाजन | लक्षित सिस्टम | IP रेंज | भूमिका |
|---|---|---|---|
| DMZ | WEB01 (WAF + WAS) | 10.10.10.0/24 | बाहरी रूप से उजागर वेब सेवा |
| Internal Server | Internal Portal + DB01 | 10.10.20.0/24 | आंतरिक पोर्टल, पोस्ट/अटैचमेंट DB |
| SIEM | Wazuh | 10.10.50.0/24 | सुरक्षा इवेंट संग्रह और विश्लेषण |
| Office | PC-USER01~04 | 10.10.30.0/24 | कार्यालय PC (उपयोगकर्ता टर्मिनल) |
बेस इंस्टॉलेशन के बाद वास्तव में बदली गई सेटिंग्स को ही संक्षेप में दिया गया है। (पूरी योजना को लागू करने की प्रक्रिया के लिए 04-response देखें)
Offloading अक्षम करना — System - Advanced - Networking
यदि पैकेट से संबंधित प्रोसेसिंग CPU के बजाय NIC द्वारा ही संभाली जाती है, तो Suricata पैकेटों की जाँच नहीं कर पाता; इसलिए hardware checksum/TCP segmentation/large receive offload सभी को अक्षम कर दिया गया।
Alert & Block सेटिंग — Services - Interfaces - WAN - WAN Settings
Suricata द्वारा पता लगाए गए हमलावर IP को स्वचालित रूप से ब्लॉक करने के लिए Block Offenders सक्षम किया गया, IPS Mode को Legacy पर सेट किया गया, और Kill States भी सक्षम किया गया।
पोर्ट वेरिएबल सेटिंग — Services - Interfaces - WAN - WAN Variables
आंतरिक वेब सेवा 80·8080 पोर्ट का एक साथ उपयोग करती है, इसलिए HTTP_PORTS में दोनों पोर्ट को एक समूह के रूप में पंजीकृत किया गया।
wazuh-setup.md, coraza-waf-setting.md के रूप में जोड़ने की अनुशंसा की जाती है। (वे कैप्चर मूल PDF में नहीं थे, इसलिए इस बार शामिल नहीं किए जा सके — यदि आवश्यक हो तो बताएं)