DetectionLab

Automatize a criação de um ambiente de laboratório completo com ferramentas de segurança e melhores práticas de registro.

Este laboratório foi projetado pensando nos defensores. Seu objetivo principal é permitir que o usuário construa rapidamente um domínio Windows que vem pré-carregado com ferramentas de segurança e algumas práticas recomendadas em relação às configurações de registro do sistema. Pode ser facilmente modificado para atender à maioria das necessidades ou expandido para incluir hosts adicionais.

Leia mais sobre o Detection Lab no Medium aqui: https://medium.com/@clong/introducing-detection-lab-61db34bed6ae

NOTA: Este laboratório não foi endurecido de forma alguma e é executado com credenciais vagrant padrão. Por favor, não o conecte ou faça bridge com nenhuma rede importante para você. Este laboratório foi projetado deliberadamente para ser inseguro; seu objetivo principal é fornecer visibilidade e introspecção em cada host.

Principais Recursos do Laboratório:

• O Microsoft Advanced Threat Analytics (https://www.microsoft.com/en-us/cloud-platform/advanced-threat-analytics) está instalado na máquina WEF, com o gateway ATA leve instalado no DC
• Um forwarder Splunk está pré-instalado e todos os índices são pré-criados. Os complementos de tecnologia também estão pré-configurados.
• Uma configuração personalizada de auditoria do Windows é definida via GPO para incluir auditoria de processo de linha de comando e registro adicional em nível de sistema operacional
• As assinaturas e canais personalizados do Windows Event Forwarding do Palantir são implementados
• O registro de transcrição do Powershell está ativado. Todos os logs são salvos em \\wef\pslogs
• O osquery está instalado em cada host e pré-configurado para conectar a um servidor Fleet via TLS. O Fleet está pré-configurado com a configuração do Palantir's osquery Configuration
• O Sysmon está instalado e configurado usando a configuração Sysmon de código aberto de Olaf Hartong
• Todos os itens de inicialização automática são registrados nos Logs de Eventos do Windows via AutorunsToWinEventLog
• Zeek e Suricata estão pré-configurados para monitorar e alertar sobre o tráfego de rede
• O Apache Guacamole está instalado para acessar facilmente todos os hosts a partir do seu navegador local

Construindo o Detection Lab

Ao preparar-se para construir o Detection Lab localmente, certifique-se de usar os scripts prepare.[sh|ps1] dentro da pasta Vagrant para garantir que seu sistema atenda aos pré-requisitos para construir o Detection Lab.

• Pré-requisitos
• MacOS - Virtualbox ou VMware Fusion
• Windows - Virtualbox ou VMware Workstation
• Linux - Virtualbox ou VMware Workstation
• AWS via Terraform
• Azure via Terraform & Ansible
• ESXi via Terraform & Ansible
• HyperV
• LibVirt
• Proxmox

Documentação do DetectionLab

O site principal da documentação está localizado em https://detectionlab.network

• Uso Básico do Vagrant
• Informações e Credenciais do Laboratório
• Solução de Problemas e Problemas Conhecidos

Contribuindo

Por favor, faça todo o seu desenvolvimento em um branch de recurso no seu próprio fork do DetectionLab. As diretrizes de contribuição podem ser encontradas aqui: CONTRIBUTING.md

Na Mídia

• DetectionLab, Chris Long – Paul’s Security Weekly #593
• TaoSecurity - Trying DetectionLab
• Setting up Chris Long's DetectionLab
• Detection Lab: Visibility & Introspection for Defenders

Créditos/Recursos

Uma porcentagem considerável deste código foi emprestada e adaptada dos repositórios Github packer-windows e adfs2 de Stefan Scherer. Um enorme agradecimento a ele por construir a base que me permitiu projetar este ambiente de laboratório.

Agradecimentos

• Microsoft Advanced Threat Analytics
• Splunk
• osquery
• Fleet
• Windows Event Forwarding for Network Defense
• palantir/windows-event-forwarding
• osquery Across the Enterprise
• palantir/osquery-configuration
• Configure Event Log Forwarding in Windows Server 2012 R2
• Monitoring what matters — Windows Event Forwarding for everyone
• Use Windows Event Forwarding to help with intrusion detection
• The Windows Event Forwarding Survival Guide
• PowerShell ♥ the Blue Team
• Autoruns
• TA-microsoft-sysmon
• SwiftOnSecurity - Sysmon Config
• ThreatHunting
• sysmon-modular
• Atomic Red Team
• Hunting for Beacons
• Velociraptor
• BadBlood
• PurpleSharp
• EVTX-ATTACK-SAMPLES

Patrocinadores do DetectionLab

Última atualização: 01/01/2023

Gostaria de agradecer a todos que patrocinaram o DetectionLab nos últimos anos. O DetectionLab não está mais sendo mantido ou desenvolvido ativamente.