Azure Red Team Attack and Detect Workshop

これは、一般的な設定ミスを含む2つの攻撃パスを持つ、意図的に脆弱性を組み込んだAzureラボです。これらの脆弱性は、本番環境で見られるものを再現することを意図しており、攻撃ベクトルは実際の脅威アクターのTTPに可能な限り近づけることを目的としています。これらの攻撃パスベクトルがどのような検出とアラートを引き起こすかを確認したい場合は、Microsoft Defender for CloudとAzure AD Premium P2プランを含むMicrosoft E5試用版へのサインアップをお勧めします。Azure Developerアカウントへのサインアップ用リンクは、resources.txtファイルにあります。

著者 - Roxana Kovaci (@RoxanaKovaci)

必要条件

Azureテナント
Azure CLI
Terraform バージョン1.2.2以上
AADテナントでグローバル管理者ロールを持つAzureユーザー
kc1.tfの248〜249行目に自身の外部IPを追加してください

デプロイ

az login
git clone https://github.com/mandiant/Azure_Workshop.git
cd Azure_Workshop
cd kc1

terraform init
terraform validate

terraform plan -out kc1.tfplan
terraform apply kc1.tfplan

cd ../kc2

terraform init
terraform validate

terraform plan -out kc2.tfplan
terraform apply kc2.tfplan

はじめに

各キルチェーンのエントリポイントはuser1です。最初のユーザーの資格情報を取得するには、次のクエリを実行します：

terraform output

キルチェーンの目標とその他のリソース

キルチェーン #1：

目標：顧客のPIIデータへのアクセスを取得する。
解答案：完全な攻撃パスの解答案は kc1/kc1_solution.txt にあります。

キルチェーン #2：

目標：超高機密ファイルへのアクセスを取得する。
解答案：完全な攻撃パスの解答案は kc2/kc2_solution.txt にあります。

各キルチェーンには、そのフォルダ内にTerraformスクリプト（およびデプロイに必要なその他の前提ファイル）とチャレンジの解答案があります。

その他のリソースと詳細を学ぶための有用なリンクは、resources.txtファイルにあります。

クリーンアップ

各キルチェーンシナリオが終了したら、テナントに追加されたすべてのリソースを削除できます：

az login

cd kc1
terraform destroy

cd ../kc2
terraform destroy

Azure_Workshop