CSAF

O Cyber Security Awareness Framework (CSAF) é uma abordagem estruturada que visa melhorar a conscientização e a compreensão sobre cibersegurança entre indivíduos, organizações e comunidades. Ele fornece orientações para o desenvolvimento de programas eficazes de conscientização em cibersegurança, abrangendo áreas-chave como avaliação das necessidades de conscientização, criação de materiais educacionais, realização de treinamentos e simulações, implementação de campanhas de comunicação e medição dos níveis de conscientização. Ao adotar este framework, as organizações podem promover uma cultura de segurança robusta, aumentar sua capacidade de detectar e responder a ameaças cibernéticas e mitigar os riscos associados a ataques e violações de segurança.

Arquitetura

---
config:
  layout: elk
---
flowchart TD
    kali_attack["Kalilinux Attack"]
    kali_defense["Kalilinux Defense"]
    kali_monitor["Kalilinux Monitor"]


    subgraph Webserver["Webserver"]
        dvwa["DVWA"]
        dvwa_monitor["DVWA Monitor"]
        wackopicko["Wackopicko"]
        juiceshop["Juiceshop"]
    end

    subgraph Database["Database"]
        mariadb["MariaDB"]
        mongodb["MongoDB"]
    end

    subgraph Phishing["Phishing LAB"]
        gophish["Gophish"]
        phishing["Phishing WEB"]
        mail_server["Mail Server"]
        mitmproxy["Mitmproxy"]
    end

    subgraph Ransomware["Ransomware LAB"]
        ransomware["Ransomware WEB"]
    end

    subgraph Breach["Breach LAB"]
        caldera["Caldera"]
        infection_monkey["Infection Monkey"]
    end

    subgraph Versioning["Versioning"]
        gitea["Gitea"]
    end

    subgraph Monitor["SOC LAB"]
        subgraph WAF["WAF"]
            bunkerweb["BunkerWEB"]
            modsecurity["Modsecurity"]
        end

        subgraph SIEM["SIEM"]
            wazuh["Wazuh"]
            splunk["Splunk"]
        end

        subgraph DFIR["DFIR"]
            velociraptor["Velociraptor"]
        end
    end

    dvwa -->|Connect| mariadb
    dvwa -->|Sending Alert| wazuh
    dvwa -->|Sending Log| splunk

    dvwa_monitor -->|Connect| mariadb
    dvwa_monitor -->|Sending Alert| wazuh
    dvwa_monitor -->|Sending Log| splunk

    wackopicko -->|Lateral Movement| juiceshop
    wackopicko -->|Lateral Movement| dvwa
    wackopicko -->|Lateral Movement| dvwa_monitor

    gitea -->|Update Code| dvwa
    gitea -->|Update Code| dvwa_monitor

    caldera -->|Control| dvwa
    caldera -->|Control| dvwa_monitor

    infection_monkey -->|Connect| mongodb

    velociraptor -->|Control| dvwa
    velociraptor -->|Control| dvwa_monitor

    bunkerweb -->|Protect| dvwa_monitor
    bunkerweb -->|Protect| wackopicko
    bunkerweb -->|Protect| juiceshop

    modsecurity -->|Protect| dvwa_monitor

    gophish -->|Sending Phishing| mail_server

    phishing -->|Seding Data| mitmproxy

    mail_server -->|Access| phishing

    ransomware -->|Infection| kali_attack
    ransomware -->|Infection| kali_defense
    ransomware -->|Infection| kali_monitor

    kali_attack -->|Attack| bunkerweb
    kali_attack -->|Attack| modsecurity
    kali_attack -->|Attack| wackopicko
    kali_attack -->|Access| gophish
    kali_attack -->|Collect Data| mitmproxy
    kali_attack -->|Access| caldera
    kali_attack -->|Access| infection_monkey

    kali_defense -->|Patch Source Code| gitea
    kali_defense -->|Control Rule| bunkerweb
    kali_defense -->|Remote SSH| dvwa
    kali_defense -->|Remote SSH| dvwa_monitor
    kali_defense -->|Access| mail_server

    kali_monitor -->|Monitor| splunk
    kali_monitor -->|Monitor| wazuh
    kali_monitor -->|Monitor| velociraptor
    kali_monitor -->|Monitor| bunkerweb
    kali_monitor -->|Access| mail_server

    %% Styling
    classDef attackStyle fill:#ff6b6b,stroke:#c92a2a,stroke-width:3px,color:#fff
    classDef defenseStyle fill:#51cf66,stroke:#2f9e44,stroke-width:3px,color:#fff
    classDef monitorStyle fill:#748ffc,stroke:#4c6ef5,stroke-width:3px,color:#fff
    classDef webserverStyle fill:#ffa94d,stroke:#fd7e14,stroke-width:2px,color:#fff
    classDef databaseStyle fill:#868e96,stroke:#495057,stroke-width:2px,color:#fff
    classDef phishingStyle fill:#ffd43b,stroke:#fab005,stroke-width:2px,color:#333
    classDef ransomwareStyle fill:#fa5252,stroke:#e03131,stroke-width:3px,color:#fff
    classDef breachStyle fill:#e64980,stroke:#c2255c,stroke-width:2px,color:#fff
    classDef versioningStyle fill:#74c0fc,stroke:#339af0,stroke-width:2px,color:#fff
    classDef wafStyle fill:#20c997,stroke:#0ca678,stroke-width:2px,color:#fff
    classDef siemStyle fill:#845ef7,stroke:#7048e8,stroke-width:2px,color:#fff
    classDef dfirStyle fill:#5c7cfa,stroke:#4263eb,stroke-width:2px,color:#fff

    %% Apply styles
    class kali_attack attackStyle
    class kali_defense defenseStyle
    class kali_monitor monitorStyle
    class dvwa,dvwa_monitor,wackopicko,juiceshop webserverStyle
    class mariadb,mongodb databaseStyle
    class gophish,phishing,mail_server,mitmproxy phishingStyle
    class ransomware ransomwareStyle
    class caldera,infection_monkey breachStyle
    class gitea versioningStyle
    class bunkerweb,modsecurity wafStyle
    class wazuh,splunk siemStyle
    class velociraptor dfirStyle

    %% Link Styling (Arrows)
    linkStyle 0,1,2,3,4,5 stroke:#868e96,stroke-width:2px
    linkStyle 6,7,8 stroke:#e64980,stroke-width:2px
    linkStyle 9,10 stroke:#74c0fc,stroke-width:2px
    linkStyle 11,12 stroke:#e64980,stroke-width:2px
    linkStyle 13 stroke:#868e96,stroke-width:2px
    linkStyle 14,15 stroke:#5c7cfa,stroke-width:2px
    linkStyle 16,17,18 stroke:#20c997,stroke-width:2px
    linkStyle 19 stroke:#20c997,stroke-width:2px
    linkStyle 20 stroke:#fab005,stroke-width:2px
    linkStyle 21 stroke:#fab005,stroke-width:2px
    linkStyle 22 stroke:#fab005,stroke-width:2px
    linkStyle 23,24,25 stroke:#fa5252,stroke-width:3px
    linkStyle 26,27,28,29,30,31,32 stroke:#ff6b6b,stroke-width:2px
    linkStyle 33,34,35,36,37 stroke:#51cf66,stroke-width:2px
    linkStyle 38,39,40,41,42 stroke:#748ffc,stroke-width:2px

    %% Subgraph Styling
    style Webserver fill:#fff4e6,stroke:#fd7e14,stroke-width:3px,color:#000
    style Database fill:#e9ecef,stroke:#495057,stroke-width:3px,color:#000
    style Phishing fill:#fff9db,stroke:#fab005,stroke-width:3px,color:#000
    style Ransomware fill:#ffe3e3,stroke:#e03131,stroke-width:3px,color:#000
    style Breach fill:#ffdeeb,stroke:#c2255c,stroke-width:3px,color:#000
    style Versioning fill:#e7f5ff,stroke:#339af0,stroke-width:3px,color:#000
    style Monitor fill:#f3f0ff,stroke:#7048e8,stroke-width:4px,color:#000
    style WAF fill:#d3f9e8,stroke:#0ca678,stroke-width:2px,color:#000
    style SIEM fill:#e5dbff,stroke:#7048e8,stroke-width:2px,color:#000
    style DFIR fill:#dbe4ff,stroke:#4263eb,stroke-width:2px,color:#000

Requisitos

Software

Docker
Plugin Docker Compose

Hardware

Mínimo

8 núcleos de CPU
16 GB de RAM
128 GB de disco livres

Recomendação

12 núcleos de CPU ou mais
32 GB de RAM ou mais
256 GB de disco livres ou mais

Instalação

Clone o repositório

git clone https://github.com/csalab-id/csaf.git

Navegue até o diretório do projeto

cd csaf

Baixe as imagens Docker

docker compose --profile=all pull

Gere o certificado SSL do Wazuh

docker compose -f generate-certs.yml run --rm generator

Prepare o Arquivo .env

Crie um arquivo de ambiente local para o Docker Compose:

cp .env.example .env

Atualize os valores no .env conforme necessário ou use as exportações de shell abaixo.

Variáveis de Ambiente

Defina estas antes de executar o Docker Compose (os padrões vêm do docker-compose.yml):

ATTACK_PASS / DEFENSE_PASS / MONITOR_PASS: Senhas VNC para os hosts de ataque, defesa e monitor (padrões: attackpassword, defensepassword, monitorpassword)
SPLUNK_PASS: Senha do administrador do Splunk (padrão: splunkpassword)
VELOX_PASS: Senha do administrador do Velociraptor (padrão: veloxpassword)
GOPHISH_PASS: Senha inicial do administrador do Gophish (padrão: gophishpassword)
MAIL_PASS: Senha do administrador do primeiro domínio de e-mail para o iRedMail (padrão: mailpassword)
PHISHING_URL: URL alvo para clonar a página de phishing (padrão: https://gmail.com/)
PHISHING_TITLE: Título da página do site de phishing (padrão: Gmail)
PHISHING_FAVICON: URL do favicon para o site de phishing (padrão: https://www.google.com/favicon.ico)
BIND_ADDR: Endereço de bind para serviços expostos de ataque/defesa/monitor (padrão: 0.0.0.0)

Exemplo:

export ATTACK_PASS=ChangeMePlease
export DEFENSE_PASS=ChangeMePlease
export MONITOR_PASS=ChangeMePlease
export SPLUNK_PASS=ChangeMePlease
export VELOX_PASS=ChangeMePlease
export GOPHISH_PASS=ChangeMePlease
export MAIL_PASS=ChangeMePlease
export PHISHING_URL=https://example.com/
export PHISHING_TITLE="Example Login"
export PHISHING_FAVICON=https://example.com/favicon.ico
export BIND_ADDR=127.0.0.1

Inicie todos os contêineres

docker compose --profile=all up -d

Você pode executar laboratórios específicos com estes perfis

all
attackdefenselab
phishinglab
breachlab
soclab
ransomwarelab

Por exemplo

docker compose --profile=attackdefenselab up -d

Perfis

all: Inicia todos os serviços da pilha.
attackdefenselab: Desktops de Ataque/Defesa, DVWA (+ secure + ModSecurity), WackoPicko, Juice Shop, Gitea, MariaDB.
attackdefenselab: Desktops de Ataque/Defesa, DVWA (+ secure + ModSecurity), WackoPicko, Juice Shop, Gitea, MariaDB, Bunkerweb (reverse proxy/WAF).
phishinglab: Desktop de ataque, Gophish, site de Phishing, servidor iRedMail.
breachlab: Desktops de Ataque/Defesa, DVWA, WackoPicko, Infection Monkey, MongoDB, Caldera.
soclab: Desktop de monitor, DVWA (+ secure + ModSecurity), Juice Shop, MariaDB, Wazuh (manager/indexer/dashboard), Splunk, Velociraptor, Bunkerweb (reverse proxy/WAF).
ransomwarelab: Desktops de Ataque/Defesa/Monitor, serviço Ransomware.

Visão Geral dos Serviços

Desktops: attack.lab (VNC na porta 6080), defense.lab (7080), monitor.lab (8080).
Aplicativos Web: dvwa.lab, wackopicko.lab, juiceshop.lab, gitea.lab.
E-mail/Phishing: mail.server.lab (iRedMail), gophish.lab, phishing.lab.
Simulação de violação: infectionmonkey.lab, mongodb.lab, caldera.lab.
Ransomware: ransomware.lab.

Credenciais Padrão

VNC: attackpassword / defensepassword / monitorpassword (substituir via env).
DVWA, WackoPicko, Juice Shop: senhas padrão do aplicativo (consulte a lista de Acesso por Domínio).
Gitea: csalab / giteapassword.
Gophish: senha de administrador de GOPHISH_PASS.
iRedMail: [email protected] / mailpassword.
Splunk: admin / splunkpassword.
Velociraptor: admin / veloxpassword.
Wazuh Dashboard/Indexer: admin / SecretPassword.

Redes

attack: 10.0.0.0/24 (rede de ataque externa do laboratório).
defense: 10.0.1.0/24 (rede de defesa interna).
public: 10.0.2.0/24 (subconjunto exposto ao público).
monitor: 10.0.3.0/24 (rede de monitoramento interna).
internet: 10.0.4.0/24 (rede simulada voltada para a internet).
internal: 10.0.5.0/24 (rede interna serviço a serviço).

Dados Persistentes

Volumes mantêm o estado de bancos de dados e aplicativos (MariaDB, Wazuh, Splunk, Gitea, etc.).
Reinicie o estado do laboratório: docker compose down -v remove contêineres e volumes.

Comandos do Ciclo de Vida

Iniciar (tudo): docker compose --profile=all up -d.
Iniciar (específico): docker compose --profile=<profile> up -d.
Parar: docker compose down.
Status: docker compose ps.
Logs: docker compose logs -f <service>.

Solução de Problemas

Certificados: Execute docker compose -f generate-certs.yml run --rm generator antes da primeira inicialização do laboratório SOC.
Endereço de bind: Defina BIND_ADDR=127.0.0.1 para vincular serviços localmente.
Conflitos de porta: Altere as portas do host ou pare processos conflitantes.
Limpeza completa: Use docker compose down -v para apagar dados persistentes.

Notas de Segurança

Altere todas as senhas padrão via .env antes de expor os serviços.
Evite expor serviços amplamente; prefira BIND_ADDR=127.0.0.1 e acesse via SOCKS5 ou SSH.
Tenha cuidado com serviços de e-mail e phishing; use apenas domínios de teste e redes isoladas.

Prova

Caldera Secure DVWA Gitea Gophish Infectionmonkey Iredmail Juice Shop Mitmproxy Phishing Roundcube Splunk Wackopicko Wazuh

Portas Expostas

Uma porta exposta pode ser acessada usando um proxy SOCKS5, cliente SSH ou cliente HTTP. Escolha uma para a melhor experiência.

Porta 6080 (Acesso à rede de ataque)
Porta 7080 (Acesso à rede de defesa)
Porta 8080 (Acesso à rede de monitoramento)

Exemplo de Uso

Acessar Rede Interna com Proxy SOCKS5

curl --proxy socks5://ipaddress:6080 http://10.0.0.100/vnc.html
curl --proxy socks5://ipaddress:7080 http://10.0.1.101/vnc.html
curl --proxy socks5://ipaddress:8080 http://10.0.3.102/vnc.html

SSH Remoto com Cliente SSH

ssh kali@ipaddress -p 6080 (senha padrão: attackpassword)
ssh kali@ipaddress -p 7080 (senha padrão: defensepassword)
ssh kali@ipaddress -p 8080 (senha padrão: monitorpassword)

Acessar Desktop Kali Linux (cURL/Navegador)

Acesso por Domínio

http://attack.lab/vnc.html (senha padrão: attackpassword)
http://defense.lab/vnc.html (senha padrão: defensepassword)
http://monitor.lab/vnc.html (senha padrão: monitorpassword)
https://gophish.lab/ (usuário padrão: admin, senha padrão: gophishpassword)
https://server.lab/ (usuário padrão: [email protected], senha padrão: mailpassword)
https://server.lab/iredadmin/ (usuário padrão: [email protected], senha padrão: mailpassword)
https://mail.server.lab/ (usuário padrão: [email protected], senha padrão: mailpassword)
https://mail.server.lab/iredadmin/ (usuário padrão: [email protected], senha padrão: mailpassword)
http://phishing.lab/
http://ransomware.lab/
http://10.0.0.200:8081/
http://gitea.lab/ (usuário padrão: csalab, senha padrão: giteapassword)
http://dvwa.lab/ (usuário padrão: admin, senha padrão: password)
http://dvwa-monitor.lab/ (usuário padrão: admin, senha padrão: password)
http://dvwa-modsecurity.lab/ (usuário padrão: admin, senha padrão: password)
https://bunkerweb.lab/setup
http://dvwa-bunkerweb.lab/ (usuário padrão: admin, senha padrão: password)
http://wackopicko-bunkerweb.lab/

Rede / Endereço IP

Ataque

10.0.0.100 attack.lab
10.0.0.200 phishing.lab
10.0.0.201 server.lab
10.0.0.201 mail.server.lab
10.0.0.202 gophish.lab
10.0.0.203 ransomware.lab
10.0.0.110 infectionmonkey.lab
10.0.0.111 mongodb.lab
10.0.0.113 caldera.lab

Defesa

10.0.1.101 defense.lab
10.0.1.10 dvwa.lab
10.0.1.13 wackopicko.lab
10.0.1.14 juiceshop.lab
10.0.1.20 gitea.lab
10.0.1.21 bunkerweb.lab
10.0.1.21 dvwa-bunkerweb.lab
10.0.1.21 wackopicko-bunkerweb.lab
10.0.1.21 juiceshop-bunkerweb.lab
10.0.1.110 infectionmonkey.lab
10.0.1.113 caldera.lab
10.0.1.203 ransomware.lab

Monitor

10.0.3.201 server.lab
10.0.3.201 mail.server.lab
10.0.3.203 ransomware.lab
10.0.3.9 mariadb.lab
10.0.3.10 dvwa.lab
10.0.3.11 dvwa-monitor.lab
10.0.3.12 dvwa-modsecurity.lab
10.0.3.21 bunkerweb.lab
10.0.3.21 dvwa-bunkerweb.lab
10.0.3.21 wackopicko-bunkerweb.lab
10.0.3.21 juiceshop-bunkerweb.lab
10.0.3.102 monitor.lab
10.0.3.30 wazuh-manager.lab
10.0.3.31 wazuh-indexer.lab
10.0.3.32 wazuh-dashboard.lab
10.0.3.40 splunk.lab
10.0.3.41 velociraptor.lab

Público

10.0.2.101 defense.lab
10.0.2.13 wackopicko.lab

Internet

10.0.4.102 monitor.lab
10.0.4.30 wazuh-manager.lab
10.0.4.32 wazuh-dashboard.lab
10.0.4.40 splunk.lab
10.0.4.41 velociraptor.lab

Interno

10.0.5.100 attack.lab
10.0.5.12 dvwa-modsecurity.lab
10.0.5.13 wackopicko.lab
10.0.5.21 bunkerweb.lab
10.0.5.21 dvwa-bunkerweb.lab
10.0.5.21 wackopicko-bunkerweb.lab
10.0.5.21 juiceshop-bunkerweb.lab

Licença

Este aplicativo Docker Compose é lançado sob a Licença MIT. Consulte o arquivo LICENSE para obter detalhes.

Aviso Legal

Este projeto destina-se apenas a uso educacional e em laboratório. Não exponha nenhum dos serviços fornecidos diretamente à internet ou a ambientes de produção sem hardening e validação de segurança independente. Você é o único responsável por cumprir as leis, regulamentos e políticas organizacionais aplicáveis ao implantar ou usar este projeto.

Mais Populares

csaf