ADTrapper - Plataforma de Análise de Segurança do Active Directory

Visão Geral

ADTrapper é uma plataforma abrangente de análise de segurança projetada para profissionais de cibersegurança analisarem logs de autenticação do Active Directory do Windows. A plataforma oferece detecção avançada de ameaças, análise de anomalias e visualizações interativas para ajudar a identificar e investigar incidentes de segurança.

Principais Recursos

• 54+ Regras de Detecção - Força bruta, pulverização de senhas, escalonamento de privilégios, ataques ADCS e mais
• Visualizações Interativas - Grafos direcionados por força para relações de rede
• Integração com SharpHound - Faça upload de dados de coleta do BloodHound para análise de AD
• Sem Autenticação Necessária - Uploads anônimos, comece a analisar imediatamente
• Implantação Docker Autossuficiente - Comando único para iniciar

Início Rápido

Pré-requisitos

• Docker e Docker Compose
• Git

1. Clone e Configure

git clone https://github.com/MHaggis/ADTrapper.git
cd ADTrapper

# Copie o arquivo de ambiente de exemplo
cp env.example .env

# (Opcional) Gere uma senha segura para produção
# echo "POSTGRES_PASSWORD=$(openssl rand -base64 32)" >> .env

2. Inicie os Serviços

# Opção 1: Use o script de implantação (recomendado)
./deploy.sh

# Opção 2: Inicialização manual
docker compose up -d
docker compose exec -T database psql -U postgres < supabase/migrations/0001_simple_setup.sql

3. Acesse a Aplicação

• Aplicação: http://localhost:3000
• Banco de dados: localhost:54325 (se necessário para acesso direto)

Nenhuma autenticação necessária - comece a enviar logs imediatamente!

Coleta de Dados

Logs de Autenticação do Windows

Use o script PowerShell incluído para coletar logs de autenticação. Execute como Administrador para acesso total:

# Mostrar ajuda e todas as opções
Get-Help .\capture.ps1 -Detailed

# Coleta básica (últimas 24 horas)
.\capture.ps1

# Coleta estendida com enriquecimento de AD
.\capture.ps1 -Hours 48 -EnrichWithAD

# Incluir eventos de certificado AD CS (para detecção de ataques ADCS)
.\capture.ps1 -ADCS -EnrichWithAD

# Coleta completa com análise do banco de dados de AC (apenas servidores AC)
# AVISO: Isso interrompe temporariamente o serviço de Autoridade de Certificação!
.\capture.ps1 -ADCS -RawDatabase -EnrichWithAD

# Exportar como CSV em vez de JSON
.\capture.ps1 -Hours 24 -Format csv -OutputPath C:\Logs\events.csv

Recursos do Coletor

Tipos de Eventos Suportados

Eventos de Autenticação:

• 4624/4625: Sucesso/falha de logon
• 4634/4647: Eventos de logoff
• 4648: Uso explícito de credenciais
• 4768/4769/4771: Autenticação Kerberos
• 4776: Autenticação NTLM
• 4740/4742: Bloqueio/alterações de conta

Eventos AD CS (com -ADCS):

• Solicitações e emissão de certificados
• Modificações de template
• Alterações de segurança da CA
• Indicadores de ataque ESC1-ESC11

Eventos SMB:

• 5140/5145: Acesso e enumeração de compartilhamento

Integração com SharpHound

ADTrapper suporta dados do SharpHound para análise abrangente de AD:

SharpHound.exe -c All -d YOURDOMAIN.COM --outputdirectory C:\Temp\

Faça upload do arquivo ZIP gerado para o ADTrapper para análise automática.

Gerenciamento de Contêineres

# Ver status
docker compose ps

# Ver logs
docker compose logs -f app
docker compose logs -f database

# Reiniciar serviços
docker compose restart

# Parar serviços
docker compose down

# Implantação nova (AVISO: exclui todos os dados)
./deploy-fresh.sh

Backup e Restauração do Banco de Dados

# Backup
docker compose exec database pg_dump -U postgres postgres > backup.sql

# Restauração
docker compose exec -T database psql -U postgres postgres < backup.sql

Configuração

Variáveis de Ambiente

Veja env.example para todas as opções disponíveis:

Solução de Problemas

Tabelas do banco de dados não encontradas (erros 500):

docker compose exec -T database psql -U postgres < supabase/migrations/0001_simple_setup.sql

Conflitos de porta:

lsof -i :3000
lsof -i :54325

Aplicação não respondendo:

docker compose logs app
docker compose restart

Implantação em Produção

Para implantações em produção:

1. Defina uma POSTGRES_PASSWORD segura no seu arquivo .env
2. Habilite HTTPS com certificados SSL adequados
3. Configure regras de firewall para restringir acesso ao banco de dados
4. Configure backups regulares do banco de dados
5. Considere usar um proxy reverso (nginx, traefik)

Opções de Implantação em Nuvem

• AWS ECS/Fargate com RDS PostgreSQL
• Google Cloud Run com Cloud SQL
• Azure Container Instances com PostgreSQL
• DigitalOcean App Platform

Stack Tecnológica

• Frontend: Next.js 14, TypeScript, Tailwind CSS
• Backend: Node.js 20 LTS, PostgreSQL 15
• Implantação: Contêineres Docker com Docker Compose
• Visualização: Canvas personalizado com simulação de força
• CI/CD: GitHub Actions com testes automatizados e varreduras de segurança

Contribuindo

Aceitamos contribuições:

1. Faça um fork do repositório
2. Crie um branch de recurso
3. Faça suas alterações com testes
4. Envie um pull request

Licença

Apache License 2.0 - veja o arquivo LICENSE