Detection Lab

2023-01-01 기준으로 DetectionLab은 더 이상 적극적으로 유지 관리되지 않습니다

DetectionLab

DetectionLab은 매주 토요일 예약된 CircleCI 워크플로우를 통해 테스트되어 빌드가 통과되는지 확인합니다.

Maintenance

목적

이 랩은 방어자를 염두에 두고 설계되었습니다. 주요 목적은 사용자가 보안 도구 및 시스템 로깅 구성 모범 사례가 사전 로드된 Windows 도메인을 신속하게 구축할 수 있도록 하는 것입니다. 대부분의 요구에 맞게 쉽게 수정하거나 추가 호스트를 포함하도록 확장할 수 있습니다.

Medium에서 Detection Lab에 대해 자세히 알아보기: https://medium.com/@clong/introducing-detection-lab-61db34bed6ae

참고: 이 랩은 전혀 강화되지 않았으며 기본 vagrant 자격 증명으로 실행됩니다. 중요하게 생각하는 네트워크에 연결하거나 브리지하지 마십시오. 이 랩은 의도적으로 보안에 취약하도록 설계되었습니다. 주요 목적은 각 호스트에 대한 가시성과 내부 조사를 제공하는 것입니다.

주요 랩 기능:

Microsoft Advanced Threat Analytics (https://www.microsoft.com/en-us/cloud-platform/advanced-threat-analytics)가 WEF 머신에 설치되어 있으며, 경량 ATA 게이트웨이가 DC에 설치되어 있습니다.
Splunk 포워더가 사전 설치되어 있으며 모든 인덱스가 미리 생성되어 있습니다. 기술 추가 기능도 사전 구성되어 있습니다.
명령줄 프로세스 감사 및 추가 OS 수준 로깅을 포함하도록 GPO를 통해 사용자 지정 Windows 감사 구성이 설정됩니다.
Palantir의 Windows Event Forwarding 구독 및 사용자 지정 채널이 구현됩니다.
Powershell 전사 로깅이 활성화됩니다. 모든 로그는 \\wef\pslogs에 저장됩니다.
osquery는 각 호스트에 설치되어 있으며 TLS를 통해 Fleet 서버에 연결하도록 사전 구성되어 있습니다. Fleet은 Palantir의 osquery 구성의 구성으로 사전 구성되어 있습니다.
Sysmon이 설치되어 있으며 Olaf Hartong의 오픈소스 Sysmon 구성을 사용하여 구성됩니다.
모든 자동 시작 항목이 AutorunsToWinEventLog를 통해 Windows 이벤트 로그에 기록됩니다.
Zeek 및 Suricata가 네트워크 트래픽을 모니터링하고 경고하도록 사전 구성되어 있습니다.
Apache Guacamole이 설치되어 로컬 브라우저에서 모든 호스트에 쉽게 액세스할 수 있습니다.

Detection Lab 구축

로컬에서 Detection Lab을 구축할 준비를 할 때는 Vagrant 폴더 안의 prepare.[sh|ps1] 스크립트를 사용하여 시스템이 Detection Lab 구축을 위한 사전 요구 사항을 충족하는지 확인하십시오.

DetectionLab 문서

주요 문서 사이트는 https://detectionlab.network에 있습니다.

기여

모든 개발은 DetectionLab의 포크에서 기능 브랜치로 수행해 주십시오. 기여 지침은 여기에서 확인할 수 있습니다: CONTRIBUTING.md

미디어에서

크레딧/리소스

이 코드의 상당 부분은 Stefan Scherer의 packer-windows 및 adfs2 GitHub 저장소에서 차용 및 수정되었습니다. 이 랩 환경을 설계할 수 있는 기반을 마련해 준 그에게 큰 감사를 전합니다.

감사의 말

DetectionLab 후원자

마지막 업데이트: 01/01/2023

지난 몇 년간 DetectionLab을 후원해 주신 모든 분들께 감사를 전합니다. DetectionLab은 더 이상 적극적으로 유지 관리되거나 개발되지 않습니다.