Splunk Attack Range v5

O Splunk Attack Range constrói ambientes de nuvem instrumentados (AWS, Azure, GCP), simula ataques e encaminha dados para o Splunk para desenvolvimento e teste de detecções.

O que ele faz:

• Construir laboratórios — Implante um pequeno laboratório semelhante à produção (Splunk, servidores Windows/Linux, Kali opcional, Zeek, etc.) via Terraform e Ansible.
• Simular ataques — Execute técnicas do Atomic Red Team (e outras) para gerar telemetria real.
• Compartilhar acesso — Use WireGuard VPN; gere configurações de cliente adicionais para compartilhar o range com outras pessoas.

Clique na imagem para assistir à demonstração 👇

---

Primeiros passos

Preferido: Docker Compose

1. Pré-requisitos: Docker e Docker Compose. Configure seu provedor de nuvem (AWS, Azure ou GCP) e monte as credenciais conforme abaixo.

2. Clone e inicie:

   root@kitploit:~

   git clone <repo-url>
   cd attack_range_2
   docker compose -f docker/docker-compose.yml up
   

3. Use o aplicativo ou a API:

   • Aplicativo web: abra http://localhost:4321 — construir/destruir ranges, visualizar status, executar simulações, compartilhar acesso.
   • API: http://localhost:4000 — API REST; documentação interativa em http://localhost:4000/openapi/swagger.

4. Construir um range (duas etapas):

   • No aplicativo: escolha um template (ex.: aws/splunk_minimal_aws) e inicie a construção. Quando o status for Aguardando VPN, baixe a configuração do WireGuard, conecte-se com WireGuard e continue a construção.
   • Ou via API: POST /attack-range/build com {"template": "aws/splunk_minimal_aws"}, consulte GET /attack-range/status/<id>, use a configuração WireGuard retornada, conecte-se, depois POST /attack-range/build com {"attack_range_id": "<id>"}.

5. CLI no Docker (opcional):

   root@kitploit:~

   docker compose --profile cli -f docker/docker-compose.yml run --rm attack_range build -t aws/splunk_minimal_aws
   

   Outras ações: destroy, simulate, apply-role, share. Consulte a Documentação detalhada para uso e flags da CLI.

---

Formas de executar

---

Documentação

• Documentação completa (Read the Docs): https://attack-range.readthedocs.io/
• Capítulos: Primeiros passos, Configuração, Rede, Compartilhamento, Templates, Funções Ansible

---

Referência rápida

• Configs: Cada range possui uma configuração em config/<attack_range_id>.yml. Os templates estão em templates/{aws,azure,gcp}/.
• Credenciais: Configure ~/.aws, ~/.azure ou ~/.config/gcloud e monte-os nos contêineres (veja docker/docker-compose.yml).
• Suporte: Issues do GitHub e CONTRIBUTING.

---

Suporte

Por favor, use o rastreador de issues do GitHub para enviar bugs ou solicitar funcionalidades.

Se você tiver dúvidas ou precisar de suporte, você pode:

• Entre na sala #security-research no canal Splunk Slack
• Publique uma pergunta no Splunk Answers
• Se você é um cliente Splunk Enterprise com um contrato de direito de suporte válido e tem uma pergunta relacionada ao Splunk, também pode abrir um caso de suporte no portal de suporte https://www.splunk.com/

---

Contribuindo

Agradecemos feedback e contribuições da comunidade! Consulte nossas diretrizes de contribuição para mais informações sobre como participar.

---

Autor

• Jose Hernandez
• Patrick Bareiß

Contribuidores

• Bhavin Patel
• Rod Soto
• Russ Nolen
• Phil Royer
• Joseph Zadeh
• Rico Valdez
• Dimitris Lambrou
• Dave Herrald
• Ignacio Bermudez Corrales
• Peter Gael
• Josef Kuepker
• Shannon Davis
• Mauricio Velazco
• Teoderick Contreras
• Lou Stella
• Christian Cloutier
• Eric McGinnis
• Micheal Haag
• Gowthamaraj Rajendran
• Christopher Caldwell
• Zachary Christensen
• JerinSaji0
• Michal Cichorz