CSAF

CSAF(사이버 보안 인식 프레임워크, Cyber Security Awareness Framework) 는 개인, 조직 및 커뮤니티의 사이버 보안 인식과 이해를 향상시키기 위한 구조화된 접근 방식입니다. 이 프레임워크는 효과적인 사이버 보안 인식 프로그램 개발을 위한 지침을 제공하며, 인식 요구 평가, 교육 자료 제작, 훈련 및 시뮬레이션 수행, 커뮤니케이션 캠페인 구현, 인식 수준 측정 등 주요 영역을 다룹니다. 이 프레임워크를 채택함으로써 조직은 강력한 보안 문화를 조성하고, 사이버 위협을 탐지하고 대응하는 능력을 향상시키며, 공격 및 보안 침해와 관련된 위험을 완화할 수 있습니다.

아키텍처

---
config:
  layout: elk
---
flowchart TD
    kali_attack["Kalilinux Attack"]
    kali_defense["Kalilinux Defense"]
    kali_monitor["Kalilinux Monitor"]


    subgraph Webserver["Webserver"]
        dvwa["DVWA"]
        dvwa_monitor["DVWA Monitor"]
        wackopicko["Wackopicko"]
        juiceshop["Juiceshop"]
    end

    subgraph Database["Database"]
        mariadb["MariaDB"]
        mongodb["MongoDB"]
    end

    subgraph Phishing["Phishing LAB"]
        gophish["Gophish"]
        phishing["Phishing WEB"]
        mail_server["Mail Server"]
        mitmproxy["Mitmproxy"]
    end

    subgraph Ransomware["Ransomware LAB"]
        ransomware["Ransomware WEB"]
    end

    subgraph Breach["Breach LAB"]
        caldera["Caldera"]
        infection_monkey["Infection Monkey"]
    end

    subgraph Versioning["Versioning"]
        gitea["Gitea"]
    end

    subgraph Monitor["SOC LAB"]
        subgraph WAF["WAF"]
            bunkerweb["BunkerWEB"]
            modsecurity["Modsecurity"]
        end

        subgraph SIEM["SIEM"]
            wazuh["Wazuh"]
            splunk["Splunk"]
        end

        subgraph DFIR["DFIR"]
            velociraptor["Velociraptor"]
        end
    end

    dvwa -->|Connect| mariadb
    dvwa -->|Sending Alert| wazuh
    dvwa -->|Sending Log| splunk

    dvwa_monitor -->|Connect| mariadb
    dvwa_monitor -->|Sending Alert| wazuh
    dvwa_monitor -->|Sending Log| splunk

    wackopicko -->|Lateral Movement| juiceshop
    wackopicko -->|Lateral Movement| dvwa
    wackopicko -->|Lateral Movement| dvwa_monitor

    gitea -->|Update Code| dvwa
    gitea -->|Update Code| dvwa_monitor

    caldera -->|Control| dvwa
    caldera -->|Control| dvwa_monitor

    infection_monkey -->|Connect| mongodb

    velociraptor -->|Control| dvwa
    velociraptor -->|Control| dvwa_monitor

    bunkerweb -->|Protect| dvwa_monitor
    bunkerweb -->|Protect| wackopicko
    bunkerweb -->|Protect| juiceshop

    modsecurity -->|Protect| dvwa_monitor

    gophish -->|Sending Phishing| mail_server

    phishing -->|Seding Data| mitmproxy

    mail_server -->|Access| phishing

    ransomware -->|Infection| kali_attack
    ransomware -->|Infection| kali_defense
    ransomware -->|Infection| kali_monitor

    kali_attack -->|Attack| bunkerweb
    kali_attack -->|Attack| modsecurity
    kali_attack -->|Attack| wackopicko
    kali_attack -->|Access| gophish
    kali_attack -->|Collect Data| mitmproxy
    kali_attack -->|Access| caldera
    kali_attack -->|Access| infection_monkey

    kali_defense -->|Patch Source Code| gitea
    kali_defense -->|Control Rule| bunkerweb
    kali_defense -->|Remote SSH| dvwa
    kali_defense -->|Remote SSH| dvwa_monitor
    kali_defense -->|Access| mail_server

    kali_monitor -->|Monitor| splunk
    kali_monitor -->|Monitor| wazuh
    kali_monitor -->|Monitor| velociraptor
    kali_monitor -->|Monitor| bunkerweb
    kali_monitor -->|Access| mail_server

    %% Styling
    classDef attackStyle fill:#ff6b6b,stroke:#c92a2a,stroke-width:3px,color:#fff
    classDef defenseStyle fill:#51cf66,stroke:#2f9e44,stroke-width:3px,color:#fff
    classDef monitorStyle fill:#748ffc,stroke:#4c6ef5,stroke-width:3px,color:#fff
    classDef webserverStyle fill:#ffa94d,stroke:#fd7e14,stroke-width:2px,color:#fff
    classDef databaseStyle fill:#868e96,stroke:#495057,stroke-width:2px,color:#fff
    classDef phishingStyle fill:#ffd43b,stroke:#fab005,stroke-width:2px,color:#333
    classDef ransomwareStyle fill:#fa5252,stroke:#e03131,stroke-width:3px,color:#fff
    classDef breachStyle fill:#e64980,stroke:#c2255c,stroke-width:2px,color:#fff
    classDef versioningStyle fill:#74c0fc,stroke:#339af0,stroke-width:2px,color:#fff
    classDef wafStyle fill:#20c997,stroke:#0ca678,stroke-width:2px,color:#fff
    classDef siemStyle fill:#845ef7,stroke:#7048e8,stroke-width:2px,color:#fff
    classDef dfirStyle fill:#5c7cfa,stroke:#4263eb,stroke-width:2px,color:#fff

    %% Apply styles
    class kali_attack attackStyle
    class kali_defense defenseStyle
    class kali_monitor monitorStyle
    class dvwa,dvwa_monitor,wackopicko,juiceshop webserverStyle
    class mariadb,mongodb databaseStyle
    class gophish,phishing,mail_server,mitmproxy phishingStyle
    class ransomware ransomwareStyle
    class caldera,infection_monkey breachStyle
    class gitea versioningStyle
    class bunkerweb,modsecurity wafStyle
    class wazuh,splunk siemStyle
    class velociraptor dfirStyle

    %% Link Styling (Arrows)
    linkStyle 0,1,2,3,4,5 stroke:#868e96,stroke-width:2px
    linkStyle 6,7,8 stroke:#e64980,stroke-width:2px
    linkStyle 9,10 stroke:#74c0fc,stroke-width:2px
    linkStyle 11,12 stroke:#e64980,stroke-width:2px
    linkStyle 13 stroke:#868e96,stroke-width:2px
    linkStyle 14,15 stroke:#5c7cfa,stroke-width:2px
    linkStyle 16,17,18 stroke:#20c997,stroke-width:2px
    linkStyle 19 stroke:#20c997,stroke-width:2px
    linkStyle 20 stroke:#fab005,stroke-width:2px
    linkStyle 21 stroke:#fab005,stroke-width:2px
    linkStyle 22 stroke:#fab005,stroke-width:2px
    linkStyle 23,24,25 stroke:#fa5252,stroke-width:3px
    linkStyle 26,27,28,29,30,31,32 stroke:#ff6b6b,stroke-width:2px
    linkStyle 33,34,35,36,37 stroke:#51cf66,stroke-width:2px
    linkStyle 38,39,40,41,42 stroke:#748ffc,stroke-width:2px

    %% Subgraph Styling
    style Webserver fill:#fff4e6,stroke:#fd7e14,stroke-width:3px,color:#000
    style Database fill:#e9ecef,stroke:#495057,stroke-width:3px,color:#000
    style Phishing fill:#fff9db,stroke:#fab005,stroke-width:3px,color:#000
    style Ransomware fill:#ffe3e3,stroke:#e03131,stroke-width:3px,color:#000
    style Breach fill:#ffdeeb,stroke:#c2255c,stroke-width:3px,color:#000
    style Versioning fill:#e7f5ff,stroke:#339af0,stroke-width:3px,color:#000
    style Monitor fill:#f3f0ff,stroke:#7048e8,stroke-width:4px,color:#000
    style WAF fill:#d3f9e8,stroke:#0ca678,stroke-width:2px,color:#000
    style SIEM fill:#e5dbff,stroke:#7048e8,stroke-width:2px,color:#000
    style DFIR fill:#dbe4ff,stroke:#4263eb,stroke-width:2px,color:#000

요구사항

소프트웨어

Docker
Docker Compose 플러그인

하드웨어

최소 사양

8코어 CPU
16GB RAM
128GB 여유 디스크

권장 사양

12코어 CPU 이상
32GB RAM 이상
256GB 여유 디스크 이상

설치

리포지토리 클론

git clone https://github.com/csalab-id/csaf.git

프로젝트 디렉터리로 이동

cd csaf

Docker 이미지 가져오기

docker compose --profile=all pull

Wazuh SSL 인증서 생성

docker compose -f generate-certs.yml run --rm generator

.env 파일 준비

Docker Compose용 로컬 환경 파일 생성:

cp .env.example .env

필요에 따라 .env 파일의 값을 업데이트하거나 아래의 셸 내보내기를 사용하세요.

환경 변수

Docker Compose를 실행하기 전에 설정하세요 (기본값은 docker-compose.yml에서 가져옴):

ATTACK_PASS / DEFENSE_PASS / MONITOR_PASS: 공격, 방어, 모니터 호스트의 VNC 비밀번호 (기본값: attackpassword, defensepassword, monitorpassword)
SPLUNK_PASS: Splunk 관리자 비밀번호 (기본값: splunkpassword)
VELOX_PASS: Velociraptor 관리자 비밀번호 (기본값: veloxpassword)
GOPHISH_PASS: 초기 Gophish 관리자 비밀번호 (기본값: gophishpassword)
MAIL_PASS: iRedMail 첫 번째 메일 도메인 관리자 비밀번호 (기본값: mailpassword)
PHISHING_URL: 피싱 페이지에 복제할 대상 URL (기본값: https://gmail.com/)
PHISHING_TITLE: 피싱 사이트의 페이지 제목 (기본값: Gmail)
PHISHING_FAVICON: 피싱 사이트의 파비콘 URL (기본값: https://www.google.com/favicon.ico)
BIND_ADDR: 노출된 공격/방어/모니터 서비스의 바인드 주소 (기본값: 0.0.0.0)

예시:

export ATTACK_PASS=ChangeMePlease
export DEFENSE_PASS=ChangeMePlease
export MONITOR_PASS=ChangeMePlease
export SPLUNK_PASS=ChangeMePlease
export VELOX_PASS=ChangeMePlease
export GOPHISH_PASS=ChangeMePlease
export MAIL_PASS=ChangeMePlease
export PHISHING_URL=https://example.com/
export PHISHING_TITLE="Example Login"
export PHISHING_FAVICON=https://example.com/favicon.ico
export BIND_ADDR=127.0.0.1

모든 컨테이너 시작

docker compose --profile=all up -d

다음 프로필을 사용하여 특정 실험실을 실행할 수 있습니다:

all
attackdefenselab
phishinglab
breachlab
soclab
ransomwarelab

예:

docker compose --profile=attackdefenselab up -d

프로필

all: 스택의 모든 서비스를 시작합니다.
attackdefenselab: 공격/방어 데스크탑, DVWA (+ secure + ModSecurity), WackoPicko, Juice Shop, Gitea, MariaDB.
attackdefenselab: 공격/방어 데스크탑, DVWA (+ secure + ModSecurity), WackoPicko, Juice Shop, Gitea, MariaDB, Bunkerweb (리버스 프록시/WAF).
phishinglab: 공격 데스크탑, Gophish, 피싱 사이트, iRedMail 서버.
breachlab: 공격/방어 데스크탑, DVWA, WackoPicko, Infection Monkey, MongoDB, Caldera.
soclab: 모니터 데스크탑, DVWA (+ secure + ModSecurity), Juice Shop, MariaDB, Wazuh (manager/indexer/dashboard), Splunk, Velociraptor, Bunkerweb (리버스 프록시/WAF).
ransomwarelab: 공격/방어/모니터 데스크탑, 랜섬웨어 서비스.

서비스 개요

데스크탑: attack.lab (VNC on 6080), defense.lab (7080), monitor.lab (8080).
웹 앱: dvwa.lab, wackopicko.lab, juiceshop.lab, gitea.lab.
메일/피싱: mail.server.lab (iRedMail), gophish.lab, phishing.lab.
침해 시뮬레이션: infectionmonkey.lab, mongodb.lab, caldera.lab.
랜섬웨어: ransomware.lab.
SOC 도구: , , , , .

기본 자격 증명

VNC: attackpassword / defensepassword / monitorpassword (env로 재정의 가능).
DVWA, WackoPicko, Juice Shop: 앱별 기본 비밀번호 (Domain Access 목록 참조).
Gitea: csalab / giteapassword.
Gophish: GOPHISH_PASS의 관리자 비밀번호.
iRedMail: [email protected] / mailpassword.
Splunk: admin / splunkpassword.
Velociraptor: admin / veloxpassword.
Wazuh Dashboard/Indexer: admin / SecretPassword.

네트워크

attack: 10.0.0.0/24 (외부 실험실 공격 네트워크)
defense: 10.0.1.0/24 (내부 방어 네트워크)
public: 10.0.2.0/24 (공개 노출 서브넷)
monitor: 10.0.3.0/24 (내부 모니터링 네트워크)
internet: 10.0.4.0/24 (시뮬레이션된 인터넷 연결 네트워크)
internal: 10.0.5.0/24 (서비스 간 내부 통신)

영구 데이터

볼륨은 데이터베이스 및 앱(MariaDB, Wazuh, Splunk, Gitea 등)의 상태를 유지합니다.
실험실 상태 재설정: docker compose down -v 명령으로 컨테이너와 볼륨을 제거합니다.

수명 주기 명령어

시작 (전체): docker compose --profile=all up -d
시작 (특정): docker compose --profile=<profile> up -d
중지: docker compose down
상태 확인: docker compose ps
로그 확인: docker compose logs -f <service>

문제 해결

인증서: SOC 실험실을 처음 시작하기 전에 docker compose -f generate-certs.yml run --rm generator를 실행하세요.
바인드 주소: 서비스를 로컬에 바인딩하려면 BIND_ADDR=127.0.0.1을 설정하세요.
포트 충돌: 호스트 포트를 변경하거나 충돌하는 프로세스를 중지하세요.
초기화: docker compose down -v를 사용하여 영구 데이터를 완전히 삭제하세요.