DFIR-LABS

О проекте

DFIR LABS — это сборник заданий, направленных на отработку навыков от простых до продвинутых концепций в следующих областях: цифровая криминалистика, реагирование на инциденты, анализ вредоносного ПО и охота за угрозами.

Проект ориентирован на профессионалов, исследователей безопасности, студентов, участников CTF, а также энтузиастов DFIR и анализа вредоносного ПО в сфере кибербезопасности, которые хотят практиковаться или интересуются вышеупомянутыми темами.

Хотя конечная цель заданий — флаги в стиле CTF, большинство заданий построено по традиционному и эффективному методу обучения — ответам на сценарии реагирования на инциденты.

Первый выпуск DFIR LABS в основном сосредоточен на заданиях для Windows. Будущие и предстоящие выпуски расширят охват, включив Linux, MacOS и Android, предлагая комплексный набор заданий DFIR на различных платформах.

Наше видение — создать всеобъемлющий ресурс, который растёт вместе с сообществом, включает современные угрозы и техники и способствует сотрудничеству в различных областях кибербезопасности. Независимо от того, новичок вы или эксперт, DFIR LABS предоставляет уникальную возможность отточить свои навыки и оставаться на шаг впереди в этой постоянно развивающейся области.

Важное уведомление

Настоятельно не рекомендуется запускать какие-либо исполняемые файлы или бинарные файлы, предоставленные в файлах заданий, так как они могут содержать потенциально вредоносное программное обеспечение. Авторы DFIR LABS не несут ответственности за любые последствия, возникшие в результате использования этих файлов, включая, помимо прочего, компрометацию системы, потерю данных или сбои в работе. Чтобы снизить риски, все действия следует выполнять в безопасной изолированной среде, такой как виртуальная машина или песочница. Убедитесь, что ваша тестовая инфраструктура надёжна и правильно настроена для обработки потенциальных угроз.

Предупреждение
Задания в DFIR LABS разработаны для имитации реальных сценариев и могут содержать потенциально опасное программное обеспечение, такое как программы-вымогатели, трояны, стилеры, C2 и т. д. Всегда соблюдайте осторожность и используйте безопасную изолированную среду при работе с этими заданиями.

Задания

Примечание
Уровень сложности каждого задания субъективен и может варьироваться в зависимости от индивидуального опыта и уровня навыков. Задания разработаны так, чтобы их можно было выполнять в определённом порядке, при этом каждое следующее задание основывается на предыдущем. Однако участники могут свободно выполнять задания в любом удобном для них порядке.

Настройка среды

Чтобы обеспечить безопасную и эффективную среду для анализа, выполните следующие шаги:

• Изолированная виртуальная машина: используйте выделенную виртуальную машину (ВМ) для заданий DFIR LABS. Рекомендуемые платформы: VMware, VirtualBox или Hyper-V. Убедитесь, что ВМ настроена с достаточными ресурсами (ЦП, память и дисковое пространство) для бесперебойной работы.

• Операционная система: установите чистую версию Windows или любой другой подходящей ОС. Примените все исправления безопасности и обновления.

• Сетевая конфигурация: отключите доступ в интернет на ВМ, чтобы предотвратить непреднамеренную утечку данных или связь вредоносного ПО. Используйте конфигурацию сети только для хоста или внутренней сети.

• Инструменты криминалистики: установите отраслевые стандартные инструменты криминалистики, такие как Autopsy, Volatility или FTK Imager, в зависимости от характера задания. Убедитесь, что все инструменты обновлены до последних стабильных версий.

• Управление снимками: сделайте первоначальный снимок ВМ после настройки и перед началом любого анализа. Это позволит легко выполнить откат в случае компрометации системы или неправильной конфигурации.

• Безопасное хранение: храните файлы заданий и результаты анализа в изолированном контейнере.

Обратная связь / Предложения

Любые отзывы, предложения или улучшения приветствуются! Мы будем признательны за любую обратную связь от сообщества.

Отправляйте свои отзывы в X: Azr43lKn1ght

Как внести вклад

Если вы заинтересованы во внесении вклада в DFIR LABS, пожалуйста, обратитесь к файлу CONTRIBUTING.md для получения дополнительной информации.

Использование

DFIR Labs абсолютно бесплатен для использования любым желающим. Если вы хотите использовать DFIR Labs в своих мастер-классах, сессиях или где-либо ещё, пожалуйста, всегда используйте оригинальные ссылки на лаборатории, а также указывайте имя автора и сами лаборатории. По любым другим вопросам, пожалуйста, свяжитесь со мной по электронной почте или в twitter/X: Azr43lKn1ght

Круг благодарности

Мы выражаем глубочайшую благодарность всем, кто сыграл свою роль в успехе DFIR LABS. Этот проект процветает благодаря страсти, опыту и непоколебимой преданности наших основных участников и сторонников. Особая благодарность невероятным командам, которые поддержали и обогатили эту инициативу:

• bi0s
• Traboda CyberLabs
• r3kapig
• idek
• l3ak
• m53
• ws1004

Мы глубоко признательны за постоянную поддержку, содержательные отзывы и вдохновение со стороны мирового сообщества DFIR и кибербезопасности. Ваша поддержка способствует росту и развитию DFIR LABS, и для нас большая честь иметь вас рядом на этом пути!

Инструменты и ресурсы

Вот некоторые из наиболее часто используемых инструментов с открытым исходным кодом, которые помогут вам в решении заданий:

Сетевой анализ

• Wireshark
• NetworkMiner

Криминалистика памяти

• Volatility
• MemProcFS

Криминалистика дисков, файловых систем и Windows

• autopsy
• EZ Tools
• FTK Imager
• The Sleuth Kit
• Active@ Disk Editor

Отладка и обратная разработка

• WinDbg
• IDA
• Ghidra
• x64dbg

Анализ процессов

• Process Hacker
• Sysinternals Suite

Анализ бинарных файлов и PE

• 010editor
• PEStudio
• CFF Explorer
• PE Bear

Вот некоторые из наиболее часто используемых ресурсов, которые помогут вам в решении заданий:

Блоги:

• Блог Azr43lKn1ght
• Блог ws1004
• Блог crazymaan
• Блог warlocksmurf
• Блог Abdelrhman Shaban
• cyber5w
• Ashemery
• Блог Stuxn3t
• Блог G4rud4
• This Week in 4n6
• frsecure
• Блог Sans
• DFIR training

CTF-райтапы

• CTF-райтапы bquanman
• Блог bi0s

YouTube-каналы

• Ali Haadi
• 13cubed
• MyDFIR
• All Things IDA

Руководства и справочники

• MemLabs
• Volatility Labs
• Справочник команд Volatility
• Серия MAS
• aboutdfir

Книги

• The art of memory forensics
• Practical Malware Analysis
• Malware Analyst's Cookbook

Discord

Присоединяйтесь к нашему серверу Discord, чтобы связаться с сообществом DFIR, делиться знаниями и сотрудничать в решении задач кибербезопасности. Сервер открыт для всех энтузиастов кибербезопасности, студентов, профессионалов и исследователей. Мы приветствуем разнообразие точек зрения и поощряем активное участие в обсуждениях, мастер-классах и CTF-мероприятиях.

Discord-сообщество DFIR LABS

Также присоединяйтесь к серверу Digital Forensics Discord для дополнительных обсуждений и ресурсов по темам DFIR.

Digital Forensics Discord

Главный автор и сопровождающий

Azr43lKn1ght - Twitter | Linkedin | Github