Detection Lab

A partire dal 01-01-2023, DetectionLab non viene più mantenuto attivamente

DetectionLab viene testato settimanalmente il sabato tramite un workflow CircleCI programmato per garantire che i build siano superati.

Scopo

Questo laboratorio è stato progettato pensando ai difensori. Il suo scopo principale è consentire all'utente di creare rapidamente un dominio Windows pre-caricato con strumenti di sicurezza e alcune best practice per quanto riguarda le configurazioni di logging di sistema. Può essere facilmente modificato per soddisfare la maggior parte delle esigenze o ampliato per includere ulteriori host.

Leggi di più su Detection Lab su Medium qui: https://medium.com/@clong/introducing-detection-lab-61db34bed6ae

NOTA: Questo laboratorio non è stato indurito in alcun modo e viene eseguito con le credenziali Vagrant predefinite. Per favore, non collegarlo o metterlo in bridging a reti a cui tieni. Questo laboratorio è deliberatamente progettato per essere insicuro; il suo scopo principale è fornire visibilità e introspezione in ogni host.

Caratteristiche principali del laboratorio:

• Microsoft Advanced Threat Analytics (https://www.microsoft.com/en-us/cloud-platform/advanced-threat-analytics) è installato sulla macchina WEF, con il gateway ATA leggero installato sul DC.
• Un forwarder Splunk è preinstallato e tutti gli indici sono pre-creati. Anche gli add-on tecnologici sono preconfigurati.
• Una configurazione di auditing personalizzata di Windows viene impostata tramite GPO per includere l'auditing dei processi da riga di comando e ulteriore logging a livello di sistema.
• Le sottoscrizioni e i canali personalizzati di Windows Event Forwarding di Palantir sono implementati.
• Il logging delle trascrizioni di PowerShell è abilitato. Tutti i log vengono salvati in \\wef\pslogs.
• osquery è installato su ogni host e preconfigurato per connettersi a un server Fleet tramite TLS. Fleet è preconfigurato con la configurazione di Palantir's osquery Configuration.
• Sysmon è installato e configurato utilizzando la configurazione Sysmon open-source di Olaf Hartong.
• Tutti gli elementi di avvio automatico vengono registrati nei log degli eventi di Windows tramite AutorunsToWinEventLog.
• Zeek e Suricata sono preconfigurati per monitorare e avvisare sul traffico di rete.
• Apache Guacamole è installato per accedere facilmente a tutti gli host dal tuo browser locale.

---

Costruire Detection Lab

Quando ti prepari a costruire Detection Lab localmente, assicurati di usare gli script prepare.[sh|ps1 all'interno della cartella Vagrant per garantire che il tuo sistema superi i controlli dei prerequisiti per la creazione di DetectionLab.

• Prerequisiti
• MacOS - Virtualbox o VMware Fusion
• Windows - Virtualbox o VMware Workstation
• Linux - Virtualbox o VMware Workstation
• AWS tramite Terraform
• Azure tramite Terraform e Ansible
• ESXi tramite Terraform e Ansible
• HyperV
• LibVirt
• Proxmox

---

Documentazione di DetectionLab

Il sito di documentazione principale si trova all'indirizzo https://detectionlab.network

• Utilizzo base di Vagrant
• Informazioni e credenziali del laboratorio
• Risoluzione dei problemi e problemi noti

---

Contribuire

Per favore, svolgi tutto il tuo sviluppo su un branch di feature del tuo fork di DetectionLab. Le linee guida per i contributi si trovano qui: CONTRIBUTING.md

Nei media

• DetectionLab, Chris Long – Paul’s Security Weekly #593
• TaoSecurity - Trying DetectionLab
• Setting up Chris Long's DetectionLab
• Detection Lab: Visibility & Introspection for Defenders

Crediti/Risorse

Una percentuale considerevole di questo codice è stata presa in prestito e adattata dai repository GitHub di Stefan Scherer: packer-windows e adfs2. Un enorme ringraziamento a lui per aver costruito le fondamenta che mi hanno permesso di progettare questo ambiente di laboratorio.

Riconoscimenti

• Microsoft Advanced Threat Analytics
• Splunk
• osquery
• Fleet
• Windows Event Forwarding for Network Defense
• palantir/windows-event-forwarding
• osquery Across the Enterprise
• palantir/osquery-configuration
• Configure Event Log Forwarding in Windows Server 2012 R2
• Monitoring what matters — Windows Event Forwarding for everyone
• Use Windows Event Forwarding to help with intrusion detection
• The Windows Event Forwarding Survival Guide
• PowerShell ♥ the Blue Team
• Autoruns
• TA-microsoft-sysmon
• SwiftOnSecurity - Sysmon Config
• ThreatHunting
• sysmon-modular
• Atomic Red Team

Sponsor di DetectionLab

Ultimo aggiornamento: 01/01/2023

Vorrei estendere i miei ringraziamenti a tutti coloro che hanno sponsorizzato DetectionLab negli ultimi anni. DetectionLab non viene più mantenuto o sviluppato attivamente.