문서
다양한 Azure 보안 랩을 생성하는 Terraform 코드 생성기.
전체 문서는 다음에서 확인하세요: https://www.purplecloud.network
변경 로그
10/18/24: Azure Sentinel 생성기 업데이트 (AADDiagnostic 설정 로그 범주 업데이트)
10/16/24: Azure Sentinel 생성기 업데이트 (관리 ID 역할 업데이트)
- sentinel.py: 각 Windows 10 시스템에 관리 ID VM 공격 경로를 더 추가했습니다. 사용자 할당에 Owner, Virtual Machine Contributor, Key Vault Reader 역할을 추가했습니다. 시스템 할당에는 Contributor, Virtual Machine Contributor, Key Vault Reader 역할을 추가했습니다.
8/20/24: Azure Sentinel 생성기 업데이트 (탐지 엔지니어링 업데이트: 동일한 LAW에서 엔드포인트 및 Entra 로그 수집)
- sentinel.py: dc와 모든 Windows 엔드포인트에 새로운 Azure Monitor Agent(AMA) 자동 설치를 업데이트했습니다! 이제부터 모든 Windows 엔드포인트는 자동으로 Log Analytics Workspace/Sentinel로 로그를 전송합니다. Sysmon 및 Windows/보안 이벤트 로그에 대한 탐지 규칙 필터를 업데이트했습니다.
- sentinel.py: 관리 ID VM 공격 경로를 추가했습니다.
- sentinel.py: Entra ID 로그를 Log Analytics Workspace/Sentinel로 전송하는 진단 설정 자동 Terraform 배포를 추가했습니다.
- sentinel.py: 도메인 컨트롤러에 Sysmon 설치 및 모든 Sysmon/보안 로그를 LAW/Sentinel로 전송하도록 추가했습니다.
- sentinel.py: 도메인 컨트롤러에서 CSE를 제거하고 PowerShell을 통해 AD Forest 설치를 간소화했습니다.
- sentinel.py: 모든 Windows에 PowerShell Core 및 OpenSSH 서버를 추가하고 SSH 세션을 통한 원격 PowerShell을 추가했습니다.
- sentinel.py: Elastic 탐지 규칙 및 APT 시뮬레이터를 제거했습니다.
2/18/24: Atomic Red Team(ART) 설치 업데이트
- sentinel.py, ad.py: Invoke-Atomics 사용을 위한 최신 방법으로 ART 설치를 업데이트했습니다.
- sentinel.py, ad.py: Elastic 탐지 규칙 설치 버그를 수정했습니다.
11/18/22: managed_identity.py 및 aadjoin.py 업데이트
- managed_identity.py: 비용 절감을 위해 기본 VM 크기를
A1v2로 변경했습니다.
- aadjoin.py: 특수 문자를 제거하기 위해 기본 Azure AD 암호를 변경했습니다.
- 새로운 Terraform 생성기 추가: adfs.py. DC가 포함된 페더레이션 ADFS 랩을 구축합니다.
- 새로운 Terraform 생성기 추가: aadjoin.py. Windows 10 관리 디바이스가 포함된 Azure AD Join 랩을 구축합니다.
- 더 나은 Terraform 리소스 및 상태 분리, 사용 편의성을 위해 모든 생성기를 별도의 하위 디렉토리로 이동했습니다.
- 이전 템플릿의 아카이브 디렉토리를 제거했습니다.
- ADFS 서버 바탕 화면에 AAD Connect msi를 다운로드합니다.
- Windows 10 Pro에 항상 PurpleSharp를 다운로드하도록 추가: ad.py, sentinel.py
- 부트스트랩 스크립트가 항상 확장-아카이브하도록 업데이트: ad.py, sentinel.py
9/8/22: 소스 IP 자동 허용 목록을 위한 관리 ID 생성기 업데이트.
- Windows 10의 새 디렉토리 이름과 관련된 한 가지 문제를 수정했습니다.
- managed_identity.py를 ifconfig.me의 http 데이터 리소스를 사용하는 새로운 자동 허용 목록으로 변경했습니다.
9/6/22: 도메인 컨트롤러의 Azure AD Connect 업데이트.
files/dc 폴더에 사용자 지정 가능한 Azure AD Connect msi가 포함되어 있습니다.- AAD Connect MSI를 버전 2.x로 업데이트했습니다.
- DC의 로컬 관리자 바탕 화면에 자동 업로드/다운로드합니다.
9/2/22: 자체 AD 사용자, 그룹 및 OU를 AD DS로 로드하기 위한 사용자 지정 CSV 파일 지원 추가.
--csv file.csv로 자신의 CSV 파일을 가져오세요. AD가 DC에서 구축되는 방법 섹션에 설명된 특정 형식을 따라야 합니다.sentinel.py 및 ad.py AD DS 코드 생성기 모두에서 지원됩니다.
9/1/22: local-exec 및 ansible 제거! 사용자 지정 파일 지원! Sysmon 및 Velociraptor 업그레이드.
- local-exec 및 ansible 종속성을 제거했습니다. 모든 사후 구성 관리는 사용자 데이터 및 bash/powershell로 수행됩니다.
- winlogbeat, sysmon, sysmon-config 범위의 모든 파일을 자체 포함되고 사용자 지정 가능하며 스토리지 컨테이너로 업로드/다운로드할 수 있도록 변경했습니다.
- Sysmon을 v14 및 최신 SwiftOnSecurity Sysmon-Config로 업그레이드했습니다.
- Velociraptor를 v6.5.2로 업그레이드했습니다.
8/4/22: Active Directory 빌드 + Sysmon 및 보안 로그를 Sentinel로 전송하는 Sentinel 랩 업데이트!
Windows 10 Sysmon 및 보안 로그를 Sentinel Log Analytics Workspace로 전송하는 옵션 지원과 함께 Azure Sentinel 랩을 구축합니다. 선택적으로 Domain Join을 사용한 Active Directory를 구축합니다.
앱 동의 피싱 시뮬레이션에 사용할 다중 테넌트 Azure AD 애플리케이션을 빠르게 생성할 수 있습니다. 이메일 및 파일 읽기와 같은 일반적인 API 동의 권한을 자동으로 빌드하지만, 필요한 지원되는 권한에 대해 사용자 지정할 수 있습니다.
다양한 사용 사례에 대해 세 가지 새로운 보안 랩을 생성할 수 있습니다. Azure Sentinel 보안 랩, 파일 공유, 컨테이너, Blob 및 샘플 파일이 포함된 Azure Storage 계정을 빠르게 생성할 수 있습니다. 또한 리소스가 포함된 Azure Key Vault도 포함됩니다. 또는 공격 작업 및 네트워크 방어자를 위한 Azure 관리 ID 보안 랩을 생성할 수 있습니다. 자세한 내용은 전체 문서를 참조하세요.
5/13/22: 서비스 주체 남용 공격 프리미티브 선택적 지원 추가
일부 서비스 주체 남용 공격 프리미티브를 동적으로 추가하는 지원을 추가했습니다. 여기에는 임의의 Azure AD 사용자에 애플리케이션 관리자(-aa) 동적 추가, 임의의 애플리케이션 SP에 권한 있는 역할 관리자(-pra) 추가, 임의의 애플리케이션 SP에 글로벌 관리자 역할 대상(-ga) 추가가 포함됩니다. 자세한 내용은 아래 azure_ad.py 사용 예제를 참조하세요. 또한 attack_scripts 디렉토리에 서비스 주체 남용 시나리오에 대한 공격 스크립트를 추가했습니다.
PurpleCloud가 변경되었습니다! Python을 사용하는 Terraform 생성기를 도입합니다. 수동 편집이 필요한 Terraform 템플릿을 제공하는 대신, 이제 Python Terraform 생성기가 시작점입니다. Python 스크립트는 사용자 입력을 기반으로 사용자 지정 Terraform 파일을 생성합니다. Terraform 템플릿 파일은 아카이브로 이동되었습니다.
iknowjason/purplecloud
