ADTrapper - 액티브 디렉터리 보안 분석 플랫폼

전문 액티브 디렉터리 보안 분석 및 위협 탐지 플랫폼

Windows 인증 로그를 고급 위협 탐지 및 대화형 시각화를 통해 실행 가능한 보안 인사이트로 변환합니다

개요

ADTrapper는 사이버보안 전문가가 Windows Active Directory 인증 로그를 분석할 수 있도록 설계된 포괄적인 보안 분석 플랫폼입니다. 이 플랫폼은 고급 위협 탐지, 이상 징후 분석 및 대화형 시각화를 제공하여 보안 사고를 식별하고 조사하는 데 도움을 줍니다.

주요 기능

54+ 탐지 규칙 - 무차별 대입, 패스워드 스프레이, 권한 상승, ADCS 공격 등
대화형 시각화 - 네트워크 관계를 위한 힘 기반 그래프
SharpHound 통합 - BloodHound 수집 데이터를 업로드하여 AD 분석
인증 불필요 - 익명 업로드, 즉시 분석 시작
자체 포함 Docker 배포 - 단일 명령으로 실행

빠른 시작

전제 조건

Docker 및 Docker Compose
Git

1. 클론 및 설정

git clone https://github.com/MHaggis/ADTrapper.git
cd ADTrapper

# Copy the example environment file
cp env.example .env

# (Optional) Generate a secure password for production
# echo "POSTGRES_PASSWORD=$(openssl rand -base64 32)" >> .env

2. 서비스 시작

# Option 1: Use the deployment script (recommended)
./deploy.sh

# Option 2: Manual startup
docker compose up -d
docker compose exec -T database psql -U postgres < supabase/migrations/0001_simple_setup.sql

3. 애플리케이션 접속

애플리케이션: http://localhost:3000
데이터베이스: localhost:54325 (직접 접속이 필요한 경우)

인증 필요 없음 - 즉시 로그 업로드를 시작하세요!

데이터 수집

Windows 인증 로그

포함된 PowerShell 스크립트를 사용하여 인증 로그를 수집하세요. 전체 액세스를 위해 관리자로 실행하세요:

# Show help and all options
Get-Help .\capture.ps1 -Detailed

# Basic collection (last 24 hours)
.\capture.ps1

# Extended collection with AD enrichment
.\capture.ps1 -Hours 48 -EnrichWithAD

# Include AD CS certificate events (for ADCS attack detection)
.\capture.ps1 -ADCS -EnrichWithAD

# Full collection with raw CA database analysis (CA servers only)
# WARNING: This stops the Certificate Authority service temporarily!
.\capture.ps1 -ADCS -RawDatabase -EnrichWithAD

# Export as CSV instead of JSON
.\capture.ps1 -Hours 24 -Format csv -OutputPath C:\Logs\events.csv

수집기 기능

지원되는 이벤트 유형

인증 이벤트:

4624/4625: 로그온 성공/실패
4634/4647: 로그오프 이벤트
4648: 명시적 자격 증명 사용
4768/4769/4771: Kerberos 인증
4776: NTLM 인증
4740/4742: 계정 잠금/변경

AD CS 이벤트 (-ADCS 사용 시):

인증서 요청 및 발급
템플릿 수정
CA 보안 변경
ESC1-ESC11 공격 지표

SMB 이벤트:

5140/5145: 공유 액세스 및 열거

SharpHound 통합

ADTrapper는 포괄적인 AD 분석을 위해 SharpHound 데이터를 지원합니다:

SharpHound.exe -c All -d YOURDOMAIN.COM --outputdirectory C:\Temp\

생성된 ZIP 파일을 ADTrapper에 업로드하여 자동 분석을 수행하세요.

컨테이너 관리

# View status
docker compose ps

# View logs
docker compose logs -f app
docker compose logs -f database

# Restart services
docker compose restart

# Stop services
docker compose down

# Fresh deployment (WARNING: deletes all data)
./deploy-fresh.sh

데이터베이스 백업 및 복원

# Backup
docker compose exec database pg_dump -U postgres postgres > backup.sql

# Restore
docker compose exec -T database psql -U postgres postgres < backup.sql

구성

환경 변수

env.example에서 모든 옵션을 확인하세요:

문제 해결

데이터베이스 테이블을 찾을 수 없음 (500 오류):

docker compose exec -T database psql -U postgres < supabase/migrations/0001_simple_setup.sql

포트 충돌:

lsof -i :3000
lsof -i :54325

애플리케이션이 응답하지 않음:

docker compose logs app
docker compose restart

프로덕션 배포

프로덕션 배포의 경우:

.env 파일에 안전한 POSTGRES_PASSWORD 설정
적절한 SSL 인증서로 HTTPS 활성화
데이터베이스 접근 제한을 위한 방화벽 규칙 구성
정기적인 데이터베이스 백업 설정
리버스 프록시 사용 고려 (nginx, traefik)

클라우드 배포 옵션

AWS ECS/Fargate with RDS PostgreSQL
Google Cloud Run with Cloud SQL
Azure Container Instances with PostgreSQL
DigitalOcean App Platform

기술 스택

프론트엔드: Next.js 14, TypeScript, Tailwind CSS
백엔드: Node.js 20 LTS, PostgreSQL 15
배포: Docker 컨테이너 with Docker Compose
시각화: 힘 시뮬레이션이 적용된 커스텀 Canvas
CI/CD: GitHub Actions with automated testing and security scans

기여

기여를 환영합니다:

저장소 포크
기능 브랜치 생성
테스트와 함께 변경 사항 적용
풀 리퀘스트 제출

라이선스

Apache License 2.0 - LICENSE 파일 참조

보안 전문가가 보안 전문가를 위해 구축

ADTrapper - Active Directory 보안 분석 발전

`-Hours`	수집 시간 범위 (기본값: 24, 최대: 8760)
`-OutputPath`	출력 파일 경로 (기본값: `.\adtrapper_events.json`)
`-Format`	출력 형식: `json` 또는 `csv`
`-EnrichWithAD`	사용자 컨텍스트 추가 (부서, 그룹, 권한)
`-ADCS`	인증서 공격 탐지를 위한 AD CS 이벤트 수집
`-RawDatabase`	CA 데이터베이스를 통한 심층 ESC1 분석 (확인 필요)

`POSTGRES_PASSWORD`	`postgres`	데이터베이스 비밀번호
`NEXT_PUBLIC_SUPABASE_URL`	`http://localhost:3001`	REST API URL
`NEXT_PUBLIC_APP_URL`	`http://localhost:3000`	애플리케이션 URL
`NODE_ENV`	`development`	환경 모드

ADTrapper

인기