Azure Red Team Attack and Detect Workshop

이 워크숍은 의도적으로 취약하게 설계된 Azure 랩으로, 일반적인 잘못된 구성이 포함된 2개의 공격 경로가 있습니다. 이러한 취약점은 실제 운영 환경에서 발견되는 것들을 대표하도록 설계되었으며, 공격 벡터는 실제 위협 행위자(Threat Actor)의 TTP(전술, 기법, 절차)와 최대한 유사하게 설계되었습니다. 이러한 공격 경로 벡터가 어떤 탐지 및 알림을 유발하는지 확인하려면 Microsoft Defender for Cloud와 Azure AD Premium P2 플랜이 포함된 Microsoft E5 평가판에 가입하는 것을 권장합니다. Azure Developer 계정 가입 링크는 resources.txt 파일에서 확인할 수 있습니다.

작성자 - Roxana Kovaci (@RoxanaKovaci)

요구 사항

• Azure 테넌트
• Azure CLI
• Terraform 버전 1.2.2 이상
• AAD 테넌트에서 전역 관리자(Global Admin) 역할을 가진 Azure 사용자
• kc1.tf의 248-249행에 외부 IP를 추가하세요.

배포

az login
git clone https://github.com/mandiant/Azure_Workshop.git
cd Azure_Workshop
cd kc1

terraform init
terraform validate

terraform plan -out kc1.tfplan
terraform apply kc1.tfplan

cd ../kc2

terraform init
terraform validate

terraform plan -out kc2.tfplan
terraform apply kc2.tfplan

시작하기

• 각 킬체인의 진입점은 user1입니다. 초기 사용자의 자격 증명을 얻으려면 다음 쿼리를 실행하세요:

terraform output

킬체인 목표 및 기타 리소스

Kill-Chain #1:

• 목표: 고객 PII 데이터에 대한 접근 권한 획득.
• 해결 방법: 전체 공격 경로 해결 방법은 kc1/kc1_solution.txt에서 확인할 수 있습니다.

Kill-Chain #2:

• 목표: 초극비 파일에 대한 접근 권한 획득.
• 해결 방법: 전체 공격 경로 해결 방법은 kc2/kc2_solution.txt에서 확인할 수 있습니다.

각 킬체인 폴더에는 배포에 필요한 Terraform 스크립트(및 기타 사전 요구 파일)와 챌린지 해결 방법이 포함되어 있습니다.

더 자세히 알아보기 위한 기타 리소스와 유용한 링크는 resources.txt 파일에서 확인할 수 있습니다.

정리

각 킬체인 시나리오를 마친 후에는 테넌트에 추가한 모든 리소스를 제거할 수 있습니다:

az login

cd kc1
terraform destroy

cd ../kc2
terraform destroy