Adaz: Laboratorio di Hunting Active Directory in Azure

Questo progetto ti consente di creare facilmente lab Active Directory in Azure con workstation aggiunte al dominio, Windows Event Forwarding, Kibana e Sysmon usando Terraform/Ansible.

Espone un file di configurazione di alto livello per il tuo dominio che ti consente di personalizzare utenti, gruppi e workstation.

dns_name: hunter.lab
dc_name: DC-1

initial_domain_admin:
  username: hunter
  password: MyAdDomain!

organizational_units: {}

users:
- username: christophe
- username: dany

groups:
- dn: CN=Hunters,CN=Users
  members: [christophe]

default_local_admin:
  username: localadmin
  password: Localadmin!

workstations:
- name: XTOF-WKS
  local_admins: [christophe]
- name: DANY-WKS
  local_admins: [dany]

enable_windows_firewall: yes

Caratteristiche

• Windows Event Forwarding preconfigurato
• Criteri di controllo preconfigurati
• Sysmon installato
• Log centralizzati in un'istanza Elasticsearch che può essere facilmente interrogata dall'interfaccia Kibana
• Dominio facilmente configurabile tramite file di configurazione YAML

Ecco un confronto incompleto e di parte con DetectionLab:

Casi d'uso

• Detection engineering: Avere accesso a un lab pulito e standardizzato è un ottimo modo per capire quali tracce lasciano gli attacchi comuni e le tecniche di movimento laterale.

• Apprendere Active Directory: Ho spesso la necessità di testare GPO o varie funzionalità di AD (AppLocker, LAPS...). Avere un lab usa e getta è fondamentale per questo.

Screenshot

Per iniziare

Prerequisiti

• Una sottoscrizione Azure. Puoi crearne una gratuitamente e ricevi $200 di credito per i primi 30 giorni. Nota che questo tipo di sottoscrizione ha un limite di 4 vCPU per regione, che ti consente comunque di eseguire 1 domain controller e 2 workstation (con la configurazione predefinita del lab).

• Una chiave SSH in ~/.ssh/id_rsa.pub. La tua chiave privata deve essere aggiunta a ssh-agent (tipicamente, eseguendo ssh-add ~/.ssh/id_rsa una volta e aggiungendo eval "$(ssh-agent -s)" nel tuo .bashrc) oppure non deve essere crittografata con una passphrase.

• Terraform >= 0.12

• Azure CLI

• Devi aver effettuato l'accesso al tuo account Azure eseguendo az login. Puoi usare az account list per confermare di avere accesso alla tua sottoscrizione Azure.

Installazione

• Clona questo repository

git clone https://github.com/christophetd/Adaz.git

• Crea un ambiente virtuale e installa le dipendenze Ansible

# Note: the virtual env needs to be in ansible/venv
python3 -m venv ansible/venv 
source ansible/venv/bin/activate
pip install -r ansible/requirements.txt
deactivate

• Inizializza Terraform

cd terraform
terraform init

Utilizzo

Opzionalmente modifica domain.yml in base alle tue esigenze (riferimento qui), poi esegui:

terraform apply

La creazione e il provisioning delle risorse richiedono 15-20 minuti. Al termine, otterrai un output simile a:

dc_public_ip = 13.89.191.140
kibana_url = http://52.176.3.250:5601
what_next =
####################
###  WHAT NEXT?  ###
####################

Check out your logs in Kibana:
http://52.176.3.250:5601

RDP to your domain controller:
xfreerdp /v:13.89.191.140 /u:hunter.lab\\hunter '/p:Hunt3r123.' +clipboard /cert-ignore

RDP to a workstation:
xfreerdp /v:52.176.5.229 /u:localadmin '/p:Localadmin!' +clipboard /cert-ignore


workstations_public_ips = {
  "DANY-WKS" = "52.165.182.15"
  "XTOF-WKS" = "52.176.5.229"
}

Non preoccuparti se durante il provisioning vedi alcuni messaggi del tipo FAILED - RETRYING: List Kibana index templates (xx retries left)

Di default, le risorse vengono distribuite nella regione West Europe in un gruppo di risorse ad-hunting-lab. Puoi controllare la regione con una variabile Terraform:

terraform apply -var 'region=East US 2'

Documentazione

• Domande frequenti
• Riferimento domain.yml
• Criteri di controllo abilitati
• Architettura dettagliata
• Risoluzione dei problemi comuni
• Operazioni comuni: aggiungere utenti, distruggere il lab, ecc.
• Struttura del progetto e organizzazione delle directory
• Variabili Terraform disponibili

Comunità

Talk / post che citano Adaz:

• Purple Teaming Cloud Identity: Simulation Labs for Red and Blue Teams
• (French) HoneyWISE : stratégie d’exploitation d’honeytokens en environnement Active Directory

Roadmap

Farò molto affidamento sul numero di voti positivi che lascerai sulle feature-proposal issues per le prossime funzionalità!

Suggerimenti e bug

Non esitare ad aprire una issue o a twittare a @christophetd.