wsus-decoy

CVE-2025-59287（WSUS）向けの防御用概念実証デコイです。このデコイはポート8530および8531でWSUS Webエンドポイントをエミュレートし、完全なHTTPリクエストボディとヘッダーをキャプチャして、フォレンジック分析用の証拠を保存し、エンドポイント・ファイル・プロセステレメトリを検証するWindowsテストハーネスを含みます。また、検出ルールの例（KQLおよびSuricata）とSentinelプレイブックテンプレートも含まれています。

重要: このプロジェクトは厳密に防御目的です。エクスプロイトコードは一切含まれていません。隔離されたラボまたはセグメント化されたテスト環境でのみ実行してください。リスクを理解し、監視体制が整っていない限り、デコイを本番ネットワークに公開しないでください。

リポジトリの内容

• WSUS風エンドポイントをキャプチャサービスにプロキシするnginx設定
• リクエストボディとメタデータをディスクに書き込むFlaskベースのキャプチャサービス
• ログファイルを作成し、検出検証用にcmd.exe -> powershell -EncodedCommand を起動するWindows PowerShellハーネス
• 不審なWSUS POSTを検出するSuricataルール
• Microsoft Sentinelでの高信頼度および早期警告検出用KQLクエリ (Xの@0x534c Steven Limより)
• デプロイメントおよびテストガイド

クイックスタート（ローカルラボ）

1. このリポジトリをクローンします。
2. capture/ 内にPython venvを作成し、pip install -r requirements.txt を実行します。
3. 必要に応じて nginx/nginx.conf を更新し、デコイホスト上でポート8530をリッスンするnginxを実行します。
4. Flaskキャプチャサービスを起動します（systemdユニット付属）。
5. EDRが有効なWindowsテストVMで windows-harness/wsus_test_harness.ps1 を実行します。
6. http://<decoy-ip>:8530/ReportWebService/ReportWebService.asmx へのPOSTを生成してキャプチャをテストします。
7. 証拠アーティファクトをSIEMまたはLog Analyticsワークスペースに取り込み、提供されたKQLクエリを実行して検証します。

完全な手順については docs/deployment.md および docs/testing.md を参照してください。

エンタープライズ向け

• lupovis.io をご覧ください

ライセンスと帰属

このプロジェクトはMITライセンスの下でライセンスされています。完全なライセンス文については LICENSE ファイルを参照してください。

Copyright (c) 2025 Lupovis

帰属: Lupovis によって作成
リポジトリ: https://github.com/Lupovis/Honeypot-for-CVE-2025-59287-WSUS/

安全性に関する注意

常に隔離されたラボまたはセグメント化されたテストネットワークで実行してください。実際のエクスプロイトペイロードを使用しないでください。その意図は、攻撃者の活動を安全な方法でキャプチャおよび分析することです。