ADTrapper - Piattaforma di Analisi della Sicurezza di Active Directory

Panoramica

ADTrapper è una piattaforma completa di analisi della sicurezza progettata per professionisti della cybersecurity per analizzare i log di autenticazione di Active Directory di Windows. La piattaforma offre rilevamento avanzato delle minacce, analisi delle anomalie e visualizzazioni interattive per aiutare a identificare e investigare gli incidenti di sicurezza.

Caratteristiche principali

• 54+ Regole di Rilevamento - Brute force, password spray, escalation dei privilegi, attacchi ADCS e altro
• Visualizzazioni Interattive - Grafici force-directed per le relazioni di rete
• Integrazione SharpHound - Carica i dati di raccolta BloodHound per l'analisi di AD
• Nessuna Autenticazione Richiesta - Caricamenti anonimi, inizia ad analizzare immediatamente
• Distribuzione Docker Autonoma - Un singolo comando per avviare

Avvio Rapido

Prerequisiti

• Docker e Docker Compose
• Git

1. Clonare e Configurare

git clone https://github.com/MHaggis/ADTrapper.git
cd ADTrapper

# Copy the example environment file
cp env.example .env

# (Optional) Generate a secure password for production
# echo "POSTGRES_PASSWORD=$(openssl rand -base64 32)" >> .env

2. Avviare i Servizi

# Option 1: Use the deployment script (recommended)
./deploy.sh

# Option 2: Manual startup
docker compose up -d
docker compose exec -T database psql -U postgres < supabase/migrations/0001_simple_setup.sql

3. Accedere all'Applicazione

• Applicazione: http://localhost:3000
• Database: localhost:54325 (se necessario per accesso diretto)

Nessuna autenticazione richiesta - inizia a caricare i log immediatamente!

Raccolta Dati

Registri di Autenticazione di Windows

Usa lo script PowerShell incluso per raccogliere i log di autenticazione. Esegui come Amministratore per accesso completo:

# Show help and all options
Get-Help .\capture.ps1 -Detailed

# Basic collection (last 24 hours)
.\capture.ps1

# Extended collection with AD enrichment
.\capture.ps1 -Hours 48 -EnrichWithAD

# Include AD CS certificate events (for ADCS attack detection)
.\capture.ps1 -ADCS -EnrichWithAD

# Full collection with raw CA database analysis (CA servers only)
# WARNING: This stops the Certificate Authority service temporarily!
.\capture.ps1 -ADCS -RawDatabase -EnrichWithAD

# Export as CSV instead of JSON
.\capture.ps1 -Hours 24 -Format csv -OutputPath C:\Logs\events.csv

Funzionalità del Collettore

Tipi di Eventi Supportati

Eventi di Autenticazione:

• 4624/4625: Accesso riuscito/fallito
• 4634/4647: Eventi di disconnessione
• 4648: Uso esplicito delle credenziali
• 4768/4769/4771: Autenticazione Kerberos
• 4776: Autenticazione NTLM
• 4740/4742: Blocco/modifiche account

Eventi AD CS (con -ADCS):

• Richieste e rilascio di certificati
• Modifiche ai template
• Modifiche alla sicurezza CA
• Indicatori di attacco ESC1-ESC11

Eventi SMB:

• 5140/5145: Accesso ed enumerazione condivisioni

Integrazione SharpHound

ADTrapper supporta i dati di SharpHound per un'analisi completa di AD:

SharpHound.exe -c All -d YOURDOMAIN.COM --outputdirectory C:\Temp\

Carica il file ZIP generato in ADTrapper per l'analisi automatica.

Gestione Container

# View status
docker compose ps

# View logs
docker compose logs -f app
docker compose logs -f database

# Restart services
docker compose restart

# Stop services
docker compose down

# Fresh deployment (WARNING: deletes all data)
./deploy-fresh.sh

Backup e Ripristino del Database

# Backup
docker compose exec database pg_dump -U postgres postgres > backup.sql

# Restore
docker compose exec -T database psql -U postgres postgres < backup.sql

Configurazione

Variabili d'Ambiente

Vedi env.example per tutte le opzioni disponibili:

Risoluzione dei Problemi

Tabelle del database non trovate (errori 500):

docker compose exec -T database psql -U postgres < supabase/migrations/0001_simple_setup.sql

Conflitti di porta:

lsof -i :3000
lsof -i :54325

Applicazione non risponde:

docker compose logs app
docker compose restart

Distribuzione in Produzione

Per distribuzioni in produzione:

1. Imposta una password POSTGRES_PASSWORD sicura nel tuo file .env
2. Abilita HTTPS con certificati SSL appropriati
3. Configura le regole del firewall per limitare l'accesso al database
4. Imposta backup periodici del database
5. Considera l'uso di un proxy inverso (nginx, traefik)

Opzioni di Distribuzione Cloud

• AWS ECS/Fargate con RDS PostgreSQL
• Google Cloud Run con Cloud SQL
• Azure Container Instances con PostgreSQL
• DigitalOcean App Platform

Stack Tecnologico

• Frontend: Next.js 14, TypeScript, Tailwind CSS
• Backend: Node.js 20 LTS, PostgreSQL 15
• Distribuzione: Container Docker con Docker Compose
• Visualizzazione: Canvas personalizzato con simulazione force
• CI/CD: GitHub Actions con test automatici e scansioni di sicurezza

Contributi

Accogliamo contributi:

1. Fai il fork del repository
2. Crea un branch per le funzionalità
3. Apporta le tue modifiche con test
4. Invia una pull request

Licenza

Apache License 2.0 - vedi file LICENSE