CSAF

Il Cyber Security Awareness Framework (CSAF) è un approccio strutturato volto a migliorare la consapevolezza e la comprensione della sicurezza informatica tra individui, organizzazioni e comunità. Fornisce indicazioni per lo sviluppo di programmi efficaci di sensibilizzazione alla sicurezza informatica, coprendo aree chiave come la valutazione delle esigenze di consapevolezza, la creazione di materiali educativi, la conduzione di formazione e simulazioni, l'implementazione di campagne di comunicazione e la misurazione dei livelli di consapevolezza. Adottando questo framework, le organizzazioni possono favorire una solida cultura della sicurezza, migliorare la capacità di rilevare e rispondere alle minacce informatiche e mitigare i rischi associati ad attacchi e violazioni della sicurezza.

Architettura

---
config:
  layout: elk
---
flowchart TD
    kali_attack["Kalilinux Attack"]
    kali_defense["Kalilinux Defense"]
    kali_monitor["Kalilinux Monitor"]


    subgraph Webserver["Webserver"]
        dvwa["DVWA"]
        dvwa_monitor["DVWA Monitor"]
        wackopicko["Wackopicko"]
        juiceshop["Juiceshop"]
    end

    subgraph Database["Database"]
        mariadb["MariaDB"]
        mongodb["MongoDB"]
    end

    subgraph Phishing["Phishing LAB"]
        gophish["Gophish"]
        phishing["Phishing WEB"]
        mail_server["Mail Server"]
        mitmproxy["Mitmproxy"]
    end

    subgraph Ransomware["Ransomware LAB"]
        ransomware["Ransomware WEB"]
    end

    subgraph Breach["Breach LAB"]
        caldera["Caldera"]
        infection_monkey["Infection Monkey"]
    end

    subgraph Versioning["Versioning"]
        gitea["Gitea"]
    end

    subgraph Monitor["SOC LAB"]
        subgraph WAF["WAF"]
            bunkerweb["BunkerWEB"]
            modsecurity["Modsecurity"]
        end

        subgraph SIEM["SIEM"]
            wazuh["Wazuh"]
            splunk["Splunk"]
        end

        subgraph DFIR["DFIR"]
            velociraptor["Velociraptor"]
        end
    end

    dvwa -->|Connect| mariadb
    dvwa -->|Sending Alert| wazuh
    dvwa -->|Sending Log| splunk

    dvwa_monitor -->|Connect| mariadb
    dvwa_monitor -->|Sending Alert| wazuh
    dvwa_monitor -->|Sending Log| splunk

    wackopicko -->|Lateral Movement| juiceshop
    wackopicko -->|Lateral Movement| dvwa
    wackopicko -->|Lateral Movement| dvwa_monitor

    gitea -->|Update Code| dvwa
    gitea -->|Update Code| dvwa_monitor

    caldera -->|Control| dvwa
    caldera -->|Control| dvwa_monitor

    infection_monkey -->|Connect| mongodb

    velociraptor -->|Control| dvwa
    velociraptor -->|Control| dvwa_monitor

    bunkerweb -->|Protect| dvwa_monitor
    bunkerweb -->|Protect| wackopicko
    bunkerweb -->|Protect| juiceshop

    modsecurity -->|Protect| dvwa_monitor

    gophish -->|Sending Phishing| mail_server

    phishing -->|Seding Data| mitmproxy

    mail_server -->|Access| phishing

    ransomware -->|Infection| kali_attack
    ransomware -->|Infection| kali_defense
    ransomware -->|Infection| kali_monitor

    kali_attack -->|Attack| bunkerweb
    kali_attack -->|Attack| modsecurity
    kali_attack -->|Attack| wackopicko
    kali_attack -->|Access| gophish
    kali_attack -->|Collect Data| mitmproxy
    kali_attack -->|Access| caldera
    kali_attack -->|Access| infection_monkey

    kali_defense -->|Patch Source Code| gitea
    kali_defense -->|Control Rule| bunkerweb
    kali_defense -->|Remote SSH| dvwa
    kali_defense -->|Remote SSH| dvwa_monitor
    kali_defense -->|Access| mail_server

    kali_monitor -->|Monitor| splunk
    kali_monitor -->|Monitor| wazuh
    kali_monitor -->|Monitor| velociraptor
    kali_monitor -->|Monitor| bunkerweb
    kali_monitor -->|Access| mail_server

    %% Styling
    classDef attackStyle fill:#ff6b6b,stroke:#c92a2a,stroke-width:3px,color:#fff
    classDef defenseStyle fill:#51cf66,stroke:#2f9e44,stroke-width:3px,color:#fff
    classDef monitorStyle fill:#748ffc,stroke:#4c6ef5,stroke-width:3px,color:#fff
    classDef webserverStyle fill:#ffa94d,stroke:#fd7e14,stroke-width:2px,color:#fff
    classDef databaseStyle fill:#868e96,stroke:#495057,stroke-width:2px,color:#fff
    classDef phishingStyle fill:#ffd43b,stroke:#fab005,stroke-width:2px,color:#333
    classDef ransomwareStyle fill:#fa5252,stroke:#e03131,stroke-width:3px,color:#fff
    classDef breachStyle fill:#e64980,stroke:#c2255c,stroke-width:2px,color:#fff
    classDef versioningStyle fill:#74c0fc,stroke:#339af0,stroke-width:2px,color:#fff
    classDef wafStyle fill:#20c997,stroke:#0ca678,stroke-width:2px,color:#fff
    classDef siemStyle fill:#845ef7,stroke:#7048e8,stroke-width:2px,color:#fff
    classDef dfirStyle fill:#5c7cfa,stroke:#4263eb,stroke-width:2px,color:#fff

    %% Apply styles
    class kali_attack attackStyle
    class kali_defense defenseStyle
    class kali_monitor monitorStyle
    class dvwa,dvwa_monitor,wackopicko,juiceshop webserverStyle
    class mariadb,mongodb databaseStyle
    class gophish,phishing,mail_server,mitmproxy phishingStyle
    class ransomware ransomwareStyle
    class caldera,infection_monkey breachStyle
    class gitea versioningStyle
    class bunkerweb,modsecurity wafStyle
    class wazuh,splunk siemStyle
    class velociraptor dfirStyle

    %% Link Styling (Arrows)
    linkStyle 0,1,2,3,4,5 stroke:#868e96,stroke-width:2px
    linkStyle 6,7,8 stroke:#e64980,stroke-width:2px
    linkStyle 9,10 stroke:#74c0fc,stroke-width:2px
    linkStyle 11,12 stroke:#e64980,stroke-width:2px
    linkStyle 13 stroke:#868e96,stroke-width:2px
    linkStyle 14,15 stroke:#5c7cfa,stroke-width:2px
    linkStyle 16,17,18 stroke:#20c997,stroke-width:2px
    linkStyle 19 stroke:#20c997,stroke-width:2px
    linkStyle 20 stroke:#fab005,stroke-width:2px
    linkStyle 21 stroke:#fab005,stroke-width:2px
    linkStyle 22 stroke:#fab005,stroke-width:2px
    linkStyle 23,24,25 stroke:#fa5252,stroke-width:3px
    linkStyle 26,27,28,29,30,31,32 stroke:#ff6b6b,stroke-width:2px
    linkStyle 33,34,35,36,37 stroke:#51cf66,stroke-width:2px
    linkStyle 38,39,40,41,42 stroke:#748ffc,stroke-width:2px

    %% Subgraph Styling
    style Webserver fill:#fff4e6,stroke:#fd7e14,stroke-width:3px,color:#000
    style Database fill:#e9ecef,stroke:#495057,stroke-width:3px,color:#000
    style Phishing fill:#fff9db,stroke:#fab005,stroke-width:3px,color:#000
    style Ransomware fill:#ffe3e3,stroke:#e03131,stroke-width:3px,color:#000
    style Breach fill:#ffdeeb,stroke:#c2255c,stroke-width:3px,color:#000
    style Versioning fill:#e7f5ff,stroke:#339af0,stroke-width:3px,color:#000
    style Monitor fill:#f3f0ff,stroke:#7048e8,stroke-width:4px,color:#000
    style WAF fill:#d3f9e8,stroke:#0ca678,stroke-width:2px,color:#000
    style SIEM fill:#e5dbff,stroke:#7048e8,stroke-width:2px,color:#000
    style DFIR fill:#dbe4ff,stroke:#4263eb,stroke-width:2px,color:#000

Requisiti

Software

Docker
Plugin Docker Compose

Hardware

Minimo

8 Core CPU
16GB RAM
128GB di spazio libero su disco

Raccomandato

12 Core CPU o superiore
32GB RAM o superiore
256GB di spazio libero su disco o superiore

Installazione

Clona il repository

git clone https://github.com/csalab-id/csaf.git

Vai alla directory del progetto

cd csaf

Scarica le immagini Docker

docker compose --profile=all pull

Genera il certificato SSL di Wazuh

docker compose -f generate-certs.yml run --rm generator

Preparazione del file .env

Crea un file d'ambiente locale per Docker Compose:

cp .env.example .env

Aggiorna i valori in .env come necessario, oppure utilizza le variabili d'ambiente tramite shell come mostrato sotto.

Variabili d'Ambiente

Imposta queste variabili prima di eseguire Docker Compose (i valori predefiniti provengono da docker-compose.yml):

ATTACK_PASS / DEFENSE_PASS / MONITOR_PASS: Password VNC per gli host attacco, difesa e monitor (predefinite: attackpassword, defensepassword, monitorpassword)
SPLUNK_PASS: Password amministratore di Splunk (predefinita: splunkpassword)
VELOX_PASS: Password amministratore di Velociraptor (predefinita: veloxpassword)
GOPHISH_PASS: Password amministratore iniziale di Gophish (predefinita: gophishpassword)
MAIL_PASS: Password amministratore del primo dominio email per iRedMail (predefinita: mailpassword)
PHISHING_URL: URL di destinazione da clonare per la pagina di phishing (predefinito: https://gmail.com/)
PHISHING_TITLE: Titolo della pagina per il sito di phishing (predefinito: Gmail)
PHISHING_FAVICON: URL del favicon per il sito di phishing (predefinito: https://www.google.com/favicon.ico)
BIND_ADDR: Indirizzo di bind per i servizi attacco/difesa/monitor esposti (predefinito: 0.0.0.0)

Esempio:

export ATTACK_PASS=ChangeMePlease
export DEFENSE_PASS=ChangeMePlease
export MONITOR_PASS=ChangeMePlease
export SPLUNK_PASS=ChangeMePlease
export VELOX_PASS=ChangeMePlease
export GOPHISH_PASS=ChangeMePlease
export MAIL_PASS=ChangeMePlease
export PHISHING_URL=https://example.com/
export PHISHING_TITLE="Example Login"
export PHISHING_FAVICON=https://example.com/favicon.ico
export BIND_ADDR=127.0.0.1

Avvia tutti i container

docker compose --profile=all up -d

Puoi eseguire lab specifici con questi profili

all
attackdefenselab
phishinglab
breachlab
soclab
ransomwarelab

Ad esempio

docker compose --profile=attackdefenselab up -d

Profili

all: Avvia ogni servizio nello stack.
attackdefenselab: Desktop attacco/difesa, DVWA (+ sicuro + ModSecurity), WackoPicko, Juice Shop, Gitea, MariaDB.
attackdefenselab: Desktop attacco/difesa, DVWA (+ sicuro + ModSecurity), WackoPicko, Juice Shop, Gitea, MariaDB, Bunkerweb (reverse proxy/WAF).
phishinglab: Desktop attacco, Gophish, sito di phishing, server iRedMail.
breachlab: Desktop attacco/difesa, DVWA, WackoPicko, Infection Monkey, MongoDB, Caldera.
soclab: Desktop monitor, DVWA (+ sicuro + ModSecurity), Juice Shop, MariaDB, Wazuh (manager/indexer/dashboard), Splunk, Velociraptor, Bunkerweb (reverse proxy/WAF).
ransomwarelab: Desktop attacco/difesa/monitor, servizio Ransomware.

Panoramica dei Servizi

Desktop: attack.lab (VNC su 6080), defense.lab (7080), monitor.lab (8080).
App web: dvwa.lab, wackopicko.lab, juiceshop.lab, gitea.lab.
Posta/Phishing: mail.server.lab (iRedMail), gophish.lab, phishing.lab.
Simulazione violazioni: infectionmonkey.lab, mongodb.lab, caldera.lab.
Ransomware: ransomware.lab.

Credenziali Predefinite

VNC: attackpassword / defensepassword / monitorpassword (sovrascrivibili tramite variabili d'ambiente).
DVWA, WackoPicko, Juice Shop: password predefinite dell'app (vedi elenco Domain Access).
Gitea: csalab / giteapassword.
Gophish: password amministratore da GOPHISH_PASS.
iRedMail: [email protected] / mailpassword.
Splunk: admin / splunkpassword.
Velociraptor: admin / veloxpassword.
Wazuh Dashboard/Indexer: admin / SecretPassword.

Reti

attack: 10.0.0.0/24 (rete di attacco del lab esterno).
defense: 10.0.1.0/24 (rete di difesa interna).
public: 10.0.2.0/24 (sottoinsieme esposto pubblicamente).
monitor: 10.0.3.0/24 (rete di monitoraggio interna).
internet: 10.0.4.0/24 (rete simulata rivolta a internet).
internal: 10.0.5.0/24 (interna servizio-servizio).

Dati Persistenti

I volumi mantengono lo stato per database e applicazioni (MariaDB, Wazuh, Splunk, Gitea, ecc.).
Per resettare lo stato del lab: docker compose down -v rimuove container e volumi.

Comandi del Ciclo di Vita

Avvia (tutto): docker compose --profile=all up -d.
Avvia (specifico): docker compose --profile=<profilo> up -d.
Ferma: docker compose down.
Stato: docker compose ps.
Log: docker compose logs -f <servizio>.

Risoluzione dei Problemi

Certificati: Esegui docker compose -f generate-certs.yml run --rm generator prima del primo avvio del lab SOC.
Indirizzo di bind: Imposta BIND_ADDR=127.0.0.1 per legare i servizi in locale.
Conflitti di porta: Cambia le porte host o ferma i processi in conflitto.
Ripristino pulito: Usa docker compose down -v per cancellare i dati persistenti.

Note sulla Sicurezza

Cambia tutte le password predefinite tramite .env prima di esporre i servizi.
Evita di esporre servizi in modo esteso; preferisci BIND_ADDR=127.0.0.1 e accedi via SOCKS5 o SSH.
Fai attenzione con i servizi di posta e phishing; usa solo domini di test e reti isolate.

Evidenze

Caldera Secure DVWA Gitea Gophish Infectionmonkey Iredmail Juice Shop Mitmproxy Phishing Roundcube Splunk Wackopicko Wazuh

Porte Esposte

Una porta esposta può essere accessibile utilizzando un proxy SOCKS5, un client SSH o un client HTTP. Scegli quella che preferisci per la migliore esperienza.

Porta 6080 (Accesso alla rete di attacco)
Porta 7080 (Accesso alla rete di difesa)
Porta 8080 (Accesso alla rete di monitoraggio)

Esempi di Utilizzo

Accesso alla Rete Interna con Proxy SOCKS5

curl --proxy socks5://indirizzoip:6080 http://10.0.0.100/vnc.html
curl --proxy socks5://indirizzoip:7080 http://10.0.1.101/vnc.html
curl --proxy socks5://indirizzoip:8080 http://10.0.3.102/vnc.html

SSH Remoto con Client SSH

ssh kali@indirizzoip -p 6080 (password predefinita: attackpassword)
ssh kali@indirizzoip -p 7080 (password predefinita: defensepassword)
ssh kali@indirizzoip -p 8080 (password predefinita: monitorpassword)

Accesso al Desktop Kali Linux (cURL/Browser)

Accesso ai Domini

http://attack.lab/vnc.html (password predefinita: attackpassword)
http://defense.lab/vnc.html (password predefinita: defensepassword)
http://monitor.lab/vnc.html (password predefinita: monitorpassword)
https://gophish.lab/ (utente predefinito: admin, password predefinita: gophishpassword)
https://server.lab/ (utente predefinito: [email protected], password predefinita: mailpassword)
https://server.lab/iredadmin/ (utente predefinito: [email protected], password predefinita: mailpassword)
https://mail.server.lab/ (utente predefinito: [email protected], password predefinita: mailpassword)
https://mail.server.lab/iredadmin/ (utente predefinito: [email protected], password predefinita: mailpassword)
http://phishing.lab/
http://ransomware.lab/
http://10.0.0.200:8081/
http://gitea.lab/ (utente predefinito: csalab, password predefinita: giteapassword)
http://dvwa.lab/ (utente predefinito: admin, password predefinita: password)
http://dvwa-monitor.lab/ (utente predefinito: admin, password predefinita: password)
http://dvwa-modsecurity.lab/ (utente predefinito: admin, password predefinita: password)
https://bunkerweb.lab/setup
http://dvwa-bunkerweb.lab/ (utente predefinito: admin, password predefinita: password)

Rete / Indirizzi IP

Attacco

10.0.0.100 attack.lab
10.0.0.200 phishing.lab
10.0.0.201 server.lab
10.0.0.201 mail.server.lab
10.0.0.202 gophish.lab
10.0.0.203 ransomware.lab
10.0.0.110 infectionmonkey.lab
10.0.0.111 mongodb.lab
10.0.0.113 caldera.lab

Difesa

10.0.1.101 defense.lab
10.0.1.10 dvwa.lab
10.0.1.13 wackopicko.lab
10.0.1.14 juiceshop.lab
10.0.1.20 gitea.lab
10.0.1.21 bunkerweb.lab
10.0.1.21 dvwa-bunkerweb.lab
10.0.1.21 wackopicko-bunkerweb.lab
10.0.1.21 juiceshop-bunkerweb.lab
10.0.1.110 infectionmonkey.lab
10.0.1.113 caldera.lab
10.0.1.203 ransomware.lab

Monitor

10.0.3.201 server.lab
10.0.3.201 mail.server.lab
10.0.3.203 ransomware.lab
10.0.3.9 mariadb.lab
10.0.3.10 dvwa.lab
10.0.3.11 dvwa-monitor.lab
10.0.3.12 dvwa-modsecurity.lab
10.0.3.21 bunkerweb.lab
10.0.3.21 dvwa-bunkerweb.lab
10.0.3.21 wackopicko-bunkerweb.lab
10.0.3.21 juiceshop-bunkerweb.lab
10.0.3.102 monitor.lab
10.0.3.30 wazuh-manager.lab
10.0.3.31 wazuh-indexer.lab
10.0.3.32 wazuh-dashboard.lab
10.0.3.40 splunk.lab
10.0.3.41 velociraptor.lab

Pubblico

10.0.2.101 defense.lab
10.0.2.13 wackopicko.lab

Internet

10.0.4.102 monitor.lab
10.0.4.30 wazuh-manager.lab
10.0.4.32 wazuh-dashboard.lab
10.0.4.40 splunk.lab
10.0.4.41 velociraptor.lab

Interno

10.0.5.100 attack.lab
10.0.5.12 dvwa-modsecurity.lab
10.0.5.13 wackopicko.lab
10.0.5.21 bunkerweb.lab
10.0.5.21 dvwa-bunkerweb.lab
10.0.5.21 wackopicko-bunkerweb.lab
10.0.5.21 juiceshop-bunkerweb.lab

Licenza

Questa applicazione Docker Compose è rilasciata sotto licenza MIT. Consulta il file LICENSE per i dettagli.

Esclusione di Responsabilità

Questo progetto è destinato esclusivamente a scopi educativi e di laboratorio. Non esporre alcun servizio fornito direttamente su Internet o in ambienti di produzione senza un adeguato hardening e una validazione di sicurezza indipendente. Sei l'unico responsabile della conformità con leggi, regolamenti e politiche organizzative applicabili quando distribuisci o utilizzi questo progetto.

Più Popolari

csaf