devzero-security/redstackLaboratório de operador de red team implantado com Terraform na AWS: Mythic, Sliver e Adaptix C2 por trás de um redirector Apache no estilo de produção, com hosts Kali/Windows e um portal Guacamole. Criado para treinamento autorizado e cyber ranges auto-hospedados.
Vai participar da DEF CON 34? Clique aqui para ver os horários das apresentações e os pré-requisitos necessários para o workshop.
Uma stack de operador de red team na AWS, no ar em ~45 minutos: três frameworks de C2 (Mythic, Sliver, Adaptix), um redirector Apache, workstations Kali e Windows, e um portal Guacamole, distribuídos em duas VPCs emparelhadas com gating por header + URI e bloqueio de scanners. Execute de duas formas: Acesso Direto contra seu próprio cyber range auto-hospedado, ou Acesso Tunelado via OpenVPN para uma plataforma de treinamento hospedada, Hack Smarter Labs, Hack The Box, OffSec Proving Grounds/Labs, VulnLab, ou qualquer plataforma que forneça um
.ovpn.
[!TIP] O redStack agora tem um sucessor agnóstico de provedor: redStackPRO. É um canvas web que compõe infraestrutura de red team e cyber ranges como uma topologia agnóstica de provedor, e então compila essa topologia em um diretório completo e executável de Terraform e Ansible que você mesmo executa. GCP e AWS são testados de ponta a ponta; Azure, Proxmox e ESXi estão no roadmap. Construído e mantido sob a devZero Security. Veja redstackpro.com.
📖 A documentação completa está na Wiki do redStack →
A wiki é o manual de operações de fato. Este README é uma página de entrada enxuta para que você encontre seu caminho. Tudo o que você precisa para implantar, verificar, executar os walkthroughs de C2, solucionar problemas ou estender o lab está lá.
[!IMPORTANT] O redStack não é um tutorial sobre como usar frameworks de C2. É um ambiente que remove o obstáculo da infraestrutura para que você possa focar no aprendizado. Este lab é estritamente para treinamento autorizado e ambientes de laboratório apenas (cyber ranges, ambientes auto-hospedados, VMs de lab pessoais, etc.). Não se destina ao uso em engajamentos do mundo real ou contra alvos que você não possui e para os quais não tem permissão explícita por escrito para testar.
[!CAUTION] TOS da AWS: use por sua conta e risco. Hospedar infraestrutura de C2 na AWS pode levantar preocupações sob a Política de Uso Aceitável da AWS. Antes de implantar, revise a AUP e envie o formulário de solicitação de Teste de Penetração / Eventos Simulados da AWS. Desde que você use o redStack exclusivamente para trabalho de lab pessoal e plataformas de treinamento autorizadas, você geralmente está dentro das regras. Para segurança, execute o redStack a partir de uma conta AWS descartável, dedicada e de uso único.
| # | O quê | Onde |
|---|---|---|
| 1 | Configuração inicial da AWS (conta, IAM, CLI, chave SSH, assinatura do Kali Marketplace) | Pré-requisitos |
| 2 | Escolher ambiente aberto ou fechado | Modos de Implantação |
| 3 | Configurar tfvars e terraform apply | Implantar |
| 4 | Confirmar Guacamole + Windows + DNS interno | Verificar |
| 5 | Estabelecer o primeiro beacon: escolher um C2 | Mythic · Sliver · Adaptix |
Tempo total: ~30-60 minutos na primeira implantação. Implantações subsequentes: ~20-30 minutos.
Operador recorrente? O Quick-Start é o caminho abreviado.
Sete instâncias EC2 distribuídas em duas VPCs interligadas por peering. Duas possuem Elastic IPs públicas (portal Guacamole + redirector); todo o restante é acessível apenas através do Guacamole.
| Nome do host | Função | IP público |
|---|---|---|
guac | Portal Guacamole (SSH/RDP via web) | Sim |
redirector | Proxy reverso Apache + frontend C2 | EIP expõe apenas 80/443 |
mythic | Servidor C2 Mythic | Não |
sliver | Servidor C2 Sliver | Não |
adaptix | Teamserver C2 Adaptix (headless) | Não |
windows | Estação de trabalho Windows Server 2022 | Não |
kali | Estação de trabalho Kali Linux (enumeração de AD + conjunto de ferramentas de ataque) | Não |
Inventário completo e detalhes de dimensionamento: Lab-Inventory. Diagrama de arquitetura: Lab-Architecture.
Aproximadamente $0,27/hora de computação enquanto em execução. Com terraform destroy entre sessões (recomendado), o custo mensal esperado é de ~$15-20/mês para uma cadência típica de estudo de 5-10 h/semana. Detalhamento completo, incluindo os tradeoffs entre parar e destruir: Cost-Management.
[!CAUTION] Esquecer um laboratório implantado é a causa #1 de faturas inesperadas da AWS. Configure um alarme de faturamento no CloudWatch antes do seu primeiro
terraform apply.
Troubleshooting cobre os modos de falha que realmente aparecem: certificado SSL do Mythic, Sliver ausente, falha na compilação do Adaptix, agente não retornando chamada, OptInRequired do Marketplace, limites de VPC, problemas de download do redirect.rules, renomeação do usuário Kali, comportamento de binding do ssh -R, e mais.
Primeiros passos: Home · Quick-Start · Pré-requisitos · Modos de Implantação · Implantar · Verificar · First-Run
