Detection Lab

2023-01-01 現在、DetectionLab は積極的にメンテナンスされていません

DetectionLab

DetectionLab は、毎週土曜日にスケジュールされた CircleCI ワークフローによってビルドが成功するかテストされています。

Maintenance

目的

このラボは防御側を念頭に設計されています。主な目的は、セキュリティツールがあらかじめインストールされ、システムログ設定に関するベストプラクティスが適用された Windows ドメインをユーザーが迅速に構築できるようにすることです。ほとんどのニーズに合わせて簡単に変更したり、追加のホストを含めるように拡張したりできます。

Detection Lab の詳細は Medium でご覧ください: https://medium.com/@clong/introducing-detection-lab-61db34bed6ae

注: このラボはまったく強化されておらず、デフォルトの vagrant 認証情報で動作します。重要なネットワークに接続したりブリッジしたりしないでください。このラボは意図的に安全でないように設計されています。主な目的は各ホストの可視性と内部分析を提供することです。

ラボの主な機能:

Microsoft Advanced Threat Analytics (https://www.microsoft.com/en-us/cloud-platform/advanced-threat-analytics) が WEF マシンにインストールされ、軽量 ATA ゲートウェイが DC にインストールされています。
Splunk フォワーダーがプリインストールされ、すべてのインデックスが事前に作成されています。テクノロジーアドオンも事前設定されています。
カスタム Windows 監査構成が GPO を介して設定され、コマンドラインプロセス監査と追加の OS レベルログが含まれます。
Palantir の Windows Event Forwarding サブスクリプションとカスタムチャネルが実装されています。
PowerShell トランスクリプトログが有効になっています。すべてのログは \\wef\pslogs に保存されます。
osquery が各ホストにインストールされ、TLS を介して Fleet サーバーに接続するように事前設定されています。Fleet は Palantir の osquery Configuration の構成で事前設定されています。
Sysmon がインストールされ、Olaf Hartong のオープンソース Sysmon 構成を使用して設定されています。
すべての自動起動項目は AutorunsToWinEventLog を介して Windows イベントログに記録されます。
Zeek と Suricata がネットワークトラフィックの監視とアラートのために事前設定されています。
Apache Guacamole がインストールされ、ローカルブラウザからすべてのホストに簡単にアクセスできます。

Detection Lab の構築

DetectionLab をローカルに構築する準備をする際は、Vagrant フォルダ内の prepare.[sh|ps1] スクリプトを使用して、システムが前提条件チェックをパスすることを確認してください。

DetectionLab ドキュメント

主要なドキュメントサイトは https://detectionlab.network です。

コントリビューション

すべての開発は DetectionLab の自分のフォークのフィーチャーブランチで行ってください。コントリビューションガイドラインはこちら: CONTRIBUTING.md

メディア掲載

クレジット/リソース

このコードのかなりの部分は Stefan Scherer 氏の packer-windows および adfs2 の GitHub リポジトリから借用・適応されたものです。このラボ環境の設計を可能にしてくれた基盤を構築してくれたことに多大な感謝を捧げます。

謝辞

DetectionLab スポンサー

最終更新: 2023年1月1日

過去数年にわたり DetectionLab をスポンサーしてくださったすべての方に感謝の意を表します。DetectionLab は現在積極的にメンテナンスや開発は行われていません。