Awesome Cloud Security Labs

無料のクラウドネイティブセキュリティ学習ラボのリストです。CTF、セルフホスト型ワークショップ、ガイド付き脆弱性ラボ、リサーチラボが含まれます。

テクノロジーとカテゴリ別一覧

AWS

The Ultimate Cloud Security Championship: 毎月開催のCTFチャレンジで、Star Wizリサーチャーが厳選した問題が出題されます。 チャレンジとリーダーボードはWizがホストします。

CloudFoxable: 自分専用の意図的に脆弱なAWSペネトレーションテスト演習環境を作成できます。

Pwned Labs: ログインが必要。 有料サブスクリプションを提供。 クラウドセキュリティ学習用の無料ホスト型ラボもあります。

The Big IAM Challenge: IAMの設定ミスを特定・悪用するCTFチャレンジ。

The Cloud Hunting Games: 実在するTTPに基づいて現実世界のクラウド侵害調査を教えるために設計されたCTFランサムウェアチャレンジ。

CloudSec Tidbits: AWSクラウドに固有の3つのWebアプリケーションセキュリティ欠陥。terraformでセルフホスト。

AWS CIRT Workshop: 自分のAWSアカウントに構築し、AWS CIRTチームが観測した5つの一般的なインシデントレスポンスシナリオを探索します。

CloudGoat: ガイド付きウォークスルーを備えた、意図的に脆弱なAWSセキュリティラボ。

Attacking and Defending Serverless Applications: 作成者が提供するterraformとスクリプトを使って自分のAWSアカウントに構築したLambdaを攻撃・防御します。 ワークショップ形式で非常に教育的です。

IAM Vulnerable: Terraformを使用して、31の権限昇格攻撃経路を持つ意図的に脆弱なAWS IAM権限昇格演習環境を作成します。 非常に充実したドキュメントです。

flaws.cloud: レベルとヒントのあるチャレンジ形式。

flaws2.cloud: 攻撃者と防御者の両方のパスがあるチャレンジ形式。

CI/CDon't: terraformで自分のAWSアカウントにホストする脆弱なCI/CD CTFチャレンジ。 ウォークスルー付き。

AWSGoat: 攻撃・防御マニュアルが2つ付属する、意図的に脆弱な（Damn Vulnerable）AWSインフラ。

Sadcloud: ガイドなしで脆弱なAWSサービスを作成します。

DVCA: 自分のAWSアカウントにDam Vulnerable Cloud Applicationをデプロイして権限昇格を練習します。

lambhack: 自分のAWSアカウントに非常に脆弱なAWS Lambdaサーバーレスアプリケーションをデプロイします。

AWSCloudPentest: terraformを使用して自分のアカウントに脆弱なAWSシナリオをデプロイし、その悪用方法を学びます。 連携YouTube [チャンネル[(https://www.youtube.com/@punitdarji1871)もあります。

AWS Well-Architected Security Workshop: 自己デプロイ型のハンズオンラボで、AWS Well-Architected Frameworkのセキュリティの柱のベストプラクティスを使用して、アーキテクチャのセキュリティを学習、測定、改善できます。

Azure

EntraGoat: 意図的に脆弱なMicrosoft Entra IDインフラ。 管理用の優れたNodeJS Web UIを備えたPowershell Graph SDKスクリプトを使用。 解決策が文書化された6つの脆弱な攻撃経路シナリオ。

BadZure: 攻撃経路を持つ自分のAzure AD（Entra ID）ラボをセットアップするPowershell Graph SDKスクリプト。 現在のところウォークスルーやガイドはありません。

Broken Azure: 攻撃できる、意図的に脆弱なAzureインフラ。

Mandiant Azure Workshop: 自分のAzureテナントに構築する、2つのシナリオを持つ意図的に脆弱なAzureラボ。

AzureGoat: terraformで1つのモジュールを構築し、提供された攻撃・防御マニュアルに沿って進めます。

XMGoat: 自分のAzureテナントに5つのシナリオを構築し、提供された解決策ドキュメントに沿って進めます。

CONVEX: powershellを使用して自分のAzureテナントに3つのCapture the Flag環境をセットアップします。

GCP

| GCP CTF Workshop: セルフホスト型、ラボガイド。 自分のGCPアカウントにホストし、bashセットアップスクリプトでterraformを使用して構築。解決策とヒント付き。

GCP Goat (Josh Jebaraj): 自分のGCPアカウントにホストし、提供されたスクリプトで構築します。 優れたガイド付きラボワークブックがあります。

GCPGoat (ine-labs): 自分のGCPアカウントを使用し、terraformで1つのモジュールを構築します。 攻撃・防御マニュアルを提供。

Thunder CTF: 自分のGCPアカウントを使用。6レベルで、GCP上の脆弱なクラウドプロジェクトへの攻撃を練習します。

Kubernetes

OWASP EKS Goat: 実際の設定ミス、IAMの欠陥、ポッド脱出をシミュレートし、防御のハンズオンラボも備えた意図的に脆弱なAWS EKS環境。デプロイしてハンズオンで練習できる20以上の攻撃・防御ラボが含まれます。

K8s Lan Party: 設定ミスだらけのネットワークに飛び込み、脆弱性を悪用してKubernetesクラスターの攻略を目指します。リーダーボード付き、登録が必要。

EKS Cluster Games: 環境全体にフラグチャレンジがある脆弱なEKSポッド。リーダーボード付き、登録が必要。

Bustakube: 脆弱なK8SクラスターをVMとしてダウンロードし、VMWareにインポートしてローカルで実行できます。

Kubernetes Goat: 自分のクラウドアカウント（GKE、EKS、AKS）またはK3Sに作成・ホストして攻撃します。 ガイド付きワークブック付き。

Kubecon NA 2019 CTF: 自分のGCPアカウントに作成する素晴らしいCTF。 2つの攻撃・防御シナリオとボーナスチャレンジを含むガイド付きワークブックがあります。

Kube Security Lab: Docker、Ansible、Kindを使用して14個の脆弱なKubernetesクラスターを作成する優れたローカルラボ。 構築後に攻撃し、その後破棄します。 ウォークスルー付き。

Container

Container Security 101: 自分のAWSアカウントにホストするガイド付き脆弱性ワークショップ。 作成者がWebページ上で進められる優れたラボを提供しており、CloudFormationでVMを構築してからコンテナを作成します。

Contained.af: コンテナ脱出チャレンジ。脱出に成功したら作成者にメールを送ります。

Terraform

TerraGoat: 意図的に脆弱なterraformリポジトリ。

リサーチラボ

PurpleCloud: pythonとterraformを使用して自分のAzureセキュリティラボを構築します。

SimuLand: Azure RMテンプレートを使用して自分のAzureセキュリティラボを作成します。

CNAPPgoat: Pulumiを使用して、AWS、GCP、Azureに意図的に脆弱なコンポーネントをモジュール式にプロビジョニングします。 脆弱性はモジュール式のシナリオで構成されていますが、現時点ではガイド付きウォークスルーはありません。

CI/CD

CI/CD Goat: 意図的に脆弱なCI/CD環境。CTF形式でCI/CDパイプラインをハッキングします。 dockerでローカルにホスト。

Github Actions Goat: 意図的に脆弱なGithub Actions CI/CD環境。自分のGithubアカウントにホストします。 脆弱性に対応する脅威シナリオの説明付き。

PaaS

PaaS Cloud Goat: 自分のSFアカウントにホストされる、シミュレートされた脆弱なSalesforceアプリケーション。 デプロイされたカスタムアプリケーションをシミュレートし、学習に使えるセキュリティテストとドキュメントを提供します。