Ludus Defender Lab

Ludus レンジ構成と Ansible ロール。MDE および MDI 用に事前ステージングされた Windows セキュリティラボ向けで、検出カバレッジテスト用に完全に誤構成された ADCS インストールを含みます。

要件

• Ludus がインストールおよび設定されていること
• 環境変数 LUDUS_API_KEY が設定されていること
• VM テンプレート: win2022-server-x64-template

デプロイ

# Install roles (run on Ludus host with API key set)
cd roles/
./install-roles.sh

# Set config and deploy
ludus range config set -f zsec-mde-mdi-lab.yml
ludus range deploy

MDE と MDI は自動インストールされません。レンジが起動したら、security.microsoft.com から両方をオンボードしてください。

1. MDE — エンドポイント → デバイス管理 → オンボーディング → Windows Server 2022。DC01 と WKS01 の両方でオンボーディングスクリプトを実行します。
2. MDI — 設定 → ID → センサー → センサーの追加。DC01 でセンサーインストーラーをダウンロードして実行します。

# Snapshot after onboarding so you can revert without repeating the process
ludus range snapshot create --name post-onboarding

環境設定

環境固有の値（ドメイン名、パスワード、ホスト名）は、設定ファイル全体にインラインで記述されています。ファイル冒頭の参照テーブルにすべての値と使用箇所が記載されているので、デプロイ前に検索と置換で更新してください。

共有 MDE 前提条件設定は global_role_vars にあります（すべての VM に適用）。DC 固有の上書きは DC01 の role_vars にあり、自動的に優先されます。

dns_rewrites 内の複合 FQDN と SPN 文字列は個別に更新する必要があります。

ロール

すべてのロールは roles/ にあります。インストールスクリプトがすべて処理します。

Ansible Galaxy 経由でインストールされるコミュニティロール: badsectorlabs.ludus_adcs（DC01）

クレジット

enable_asr と enable_mdi_gpo は、@curi0usJack が curi0usJack/Ludus-MDE-MDI-Roles で公開している成果に基づいています。このリポジトリは、これらのロールを拡張して統合された DC↔WKS セットアップにし、ADCS 誤構成レイヤー、MDE 前提条件の堅牢化、WEF パイプライン、および追加ロールを加えています。

AD CS ラボは私のコースからのスニペットです。