CSAF

Фреймворк повышения осведомлённости в области кибербезопасности (CSAF) — это структурированный подход, направленный на повышение осведомлённости и понимания кибербезопасности среди отдельных лиц, организаций и сообществ. Он предоставляет рекомендации по разработке эффективных программ повышения осведомлённости о кибербезопасности, охватывая такие ключевые области, как оценка потребностей в осведомлённости, создание учебных материалов, проведение тренингов и симуляций, реализация информационных кампаний и измерение уровней осведомлённости. Внедряя этот фреймворк, организации могут способствовать формированию устойчивой культуры безопасности, повысить свою способность обнаруживать и реагировать на киберугрозы, а также снизить риски, связанные с атаками и нарушениями безопасности.

Архитектура

---
config:
  layout: elk
---
flowchart TD
    kali_attack["Kalilinux Attack"]
    kali_defense["Kalilinux Defense"]
    kali_monitor["Kalilinux Monitor"]


    subgraph Webserver["Webserver"]
        dvwa["DVWA"]
        dvwa_monitor["DVWA Monitor"]
        wackopicko["Wackopicko"]
        juiceshop["Juiceshop"]
    end

    subgraph Database["Database"]
        mariadb["MariaDB"]
        mongodb["MongoDB"]
    end

    subgraph Phishing["Phishing LAB"]
        gophish["Gophish"]
        phishing["Phishing WEB"]
        mail_server["Mail Server"]
        mitmproxy["Mitmproxy"]
    end

    subgraph Ransomware["Ransomware LAB"]
        ransomware["Ransomware WEB"]
    end

    subgraph Breach["Breach LAB"]
        caldera["Caldera"]
        infection_monkey["Infection Monkey"]
    end

    subgraph Versioning["Versioning"]
        gitea["Gitea"]
    end

    subgraph Monitor["SOC LAB"]
        subgraph WAF["WAF"]
            bunkerweb["BunkerWEB"]
            modsecurity["Modsecurity"]
        end

        subgraph SIEM["SIEM"]
            wazuh["Wazuh"]
            splunk["Splunk"]
        end

        subgraph DFIR["DFIR"]
            velociraptor["Velociraptor"]
        end
    end

    dvwa -->|Connect| mariadb
    dvwa -->|Sending Alert| wazuh
    dvwa -->|Sending Log| splunk

    dvwa_monitor -->|Connect| mariadb
    dvwa_monitor -->|Sending Alert| wazuh
    dvwa_monitor -->|Sending Log| splunk

    wackopicko -->|Lateral Movement| juiceshop
    wackopicko -->|Lateral Movement| dvwa
    wackopicko -->|Lateral Movement| dvwa_monitor

    gitea -->|Update Code| dvwa
    gitea -->|Update Code| dvwa_monitor

    caldera -->|Control| dvwa
    caldera -->|Control| dvwa_monitor

    infection_monkey -->|Connect| mongodb

    velociraptor -->|Control| dvwa
    velociraptor -->|Control| dvwa_monitor

    bunkerweb -->|Protect| dvwa_monitor
    bunkerweb -->|Protect| wackopicko
    bunkerweb -->|Protect| juiceshop

    modsecurity -->|Protect| dvwa_monitor

    gophish -->|Sending Phishing| mail_server

    phishing -->|Seding Data| mitmproxy

    mail_server -->|Access| phishing

    ransomware -->|Infection| kali_attack
    ransomware -->|Infection| kali_defense
    ransomware -->|Infection| kali_monitor

    kali_attack -->|Attack| bunkerweb
    kali_attack -->|Attack| modsecurity
    kali_attack -->|Attack| wackopicko
    kali_attack -->|Access| gophish
    kali_attack -->|Collect Data| mitmproxy
    kali_attack -->|Access| caldera
    kali_attack -->|Access| infection_monkey

    kali_defense -->|Patch Source Code| gitea
    kali_defense -->|Control Rule| bunkerweb
    kali_defense -->|Remote SSH| dvwa
    kali_defense -->|Remote SSH| dvwa_monitor
    kali_defense -->|Access| mail_server

    kali_monitor -->|Monitor| splunk
    kali_monitor -->|Monitor| wazuh
    kali_monitor -->|Monitor| velociraptor
    kali_monitor -->|Monitor| bunkerweb
    kali_monitor -->|Access| mail_server

    %% Styling
    classDef attackStyle fill:#ff6b6b,stroke:#c92a2a,stroke-width:3px,color:#fff
    classDef defenseStyle fill:#51cf66,stroke:#2f9e44,stroke-width:3px,color:#fff
    classDef monitorStyle fill:#748ffc,stroke:#4c6ef5,stroke-width:3px,color:#fff
    classDef webserverStyle fill:#ffa94d,stroke:#fd7e14,stroke-width:2px,color:#fff
    classDef databaseStyle fill:#868e96,stroke:#495057,stroke-width:2px,color:#fff
    classDef phishingStyle fill:#ffd43b,stroke:#fab005,stroke-width:2px,color:#333
    classDef ransomwareStyle fill:#fa5252,stroke:#e03131,stroke-width:3px,color:#fff
    classDef breachStyle fill:#e64980,stroke:#c2255c,stroke-width:2px,color:#fff
    classDef versioningStyle fill:#74c0fc,stroke:#339af0,stroke-width:2px,color:#fff
    classDef wafStyle fill:#20c997,stroke:#0ca678,stroke-width:2px,color:#fff
    classDef siemStyle fill:#845ef7,stroke:#7048e8,stroke-width:2px,color:#fff
    classDef dfirStyle fill:#5c7cfa,stroke:#4263eb,stroke-width:2px,color:#fff

    %% Apply styles
    class kali_attack attackStyle
    class kali_defense defenseStyle
    class kali_monitor monitorStyle
    class dvwa,dvwa_monitor,wackopicko,juiceshop webserverStyle
    class mariadb,mongodb databaseStyle
    class gophish,phishing,mail_server,mitmproxy phishingStyle
    class ransomware ransomwareStyle
    class caldera,infection_monkey breachStyle
    class gitea versioningStyle
    class bunkerweb,modsecurity wafStyle
    class wazuh,splunk siemStyle
    class velociraptor dfirStyle

    %% Link Styling (Arrows)
    linkStyle 0,1,2,3,4,5 stroke:#868e96,stroke-width:2px
    linkStyle 6,7,8 stroke:#e64980,stroke-width:2px
    linkStyle 9,10 stroke:#74c0fc,stroke-width:2px
    linkStyle 11,12 stroke:#e64980,stroke-width:2px
    linkStyle 13 stroke:#868e96,stroke-width:2px
    linkStyle 14,15 stroke:#5c7cfa,stroke-width:2px
    linkStyle 16,17,18 stroke:#20c997,stroke-width:2px
    linkStyle 19 stroke:#20c997,stroke-width:2px
    linkStyle 20 stroke:#fab005,stroke-width:2px
    linkStyle 21 stroke:#fab005,stroke-width:2px
    linkStyle 22 stroke:#fab005,stroke-width:2px
    linkStyle 23,24,25 stroke:#fa5252,stroke-width:3px
    linkStyle 26,27,28,29,30,31,32 stroke:#ff6b6b,stroke-width:2px
    linkStyle 33,34,35,36,37 stroke:#51cf66,stroke-width:2px
    linkStyle 38,39,40,41,42 stroke:#748ffc,stroke-width:2px

    %% Subgraph Styling
    style Webserver fill:#fff4e6,stroke:#fd7e14,stroke-width:3px,color:#000
    style Database fill:#e9ecef,stroke:#495057,stroke-width:3px,color:#000
    style Phishing fill:#fff9db,stroke:#fab005,stroke-width:3px,color:#000
    style Ransomware fill:#ffe3e3,stroke:#e03131,stroke-width:3px,color:#000
    style Breach fill:#ffdeeb,stroke:#c2255c,stroke-width:3px,color:#000
    style Versioning fill:#e7f5ff,stroke:#339af0,stroke-width:3px,color:#000
    style Monitor fill:#f3f0ff,stroke:#7048e8,stroke-width:4px,color:#000
    style WAF fill:#d3f9e8,stroke:#0ca678,stroke-width:2px,color:#000
    style SIEM fill:#e5dbff,stroke:#7048e8,stroke-width:2px,color:#000
    style DFIR fill:#dbe4ff,stroke:#4263eb,stroke-width:2px,color:#000

Требования

Программное обеспечение

Docker
Плагин Docker Compose

Аппаратное обеспечение

Минимальные

8 ядер CPU
16 ГБ ОЗУ
128 ГБ свободного дискового пространства

Установка

Клонируйте репозиторий

git clone https://github.com/csalab-id/csaf.git

Перейдите в каталог проекта

cd csaf

Загрузите Docker-образы

docker compose --profile=all pull

Сгенерируйте SSL-сертификат Wazuh

docker compose -f generate-certs.yml run --rm generator

Подготовка файла .env

Создайте локальный файл окружения для Docker Compose:

cp .env.example .env

При необходимости обновите значения в .env или используйте экспорт переменных оболочки ниже.

Переменные окружения

Установите их перед запуском Docker Compose (значения по умолчанию взяты из docker-compose.yml):

ATTACK_PASS / DEFENSE_PASS / MONITOR_PASS: пароли VNC для хостов атаки, защиты и мониторинга (по умолчанию: attackpassword, defensepassword, monitorpassword)
SPLUNK_PASS: пароль администратора Splunk (по умолчанию: splunkpassword)
VELOX_PASS: пароль администратора Velociraptor (по умолчанию: veloxpassword)
GOPHISH_PASS: начальный пароль администратора Gophish (по умолчанию: gophishpassword)
MAIL_PASS: пароль первого администратора почтового домена для iRedMail (по умолчанию: mailpassword)
PHISHING_URL: целевой URL для клонирования фишинговой страницы (по умолчанию: https://gmail.com/)
PHISHING_TITLE: заголовок страницы фишингового сайта (по умолчанию: Gmail)
PHISHING_FAVICON: URL favicon для фишингового сайта (по умолчанию: https://www.google.com/favicon.ico)
BIND_ADDR: адрес привязки для открытых сервисов атаки/защиты/мониторинга (по умолчанию: 0.0.0.0)

Пример:

export ATTACK_PASS=ChangeMePlease
export DEFENSE_PASS=ChangeMePlease
export MONITOR_PASS=ChangeMePlease
export SPLUNK_PASS=ChangeMePlease
export VELOX_PASS=ChangeMePlease
export GOPHISH_PASS=ChangeMePlease
export MAIL_PASS=ChangeMePlease
export PHISHING_URL=https://example.com/
export PHISHING_TITLE="Example Login"
export PHISHING_FAVICON=https://example.com/favicon.ico
export BIND_ADDR=127.0.0.1

Запустите все контейнеры

docker compose --profile=all up -d

Вы можете запускать отдельные лаборатории с помощью этих профилей

all
attackdefenselab
phishinglab
breachlab
soclab
ransomwarelab

Например

docker compose --profile=attackdefenselab up -d

Профили

all: Запускает все сервисы стека.
attackdefenselab: Рабочие столы атаки/защиты, DVWA (+ secure + ModSecurity), WackoPicko, Juice Shop, Gitea, MariaDB.
attackdefenselab: Рабочие столы атаки/защиты, DVWA (+ secure + ModSecurity), WackoPicko, Juice Shop, Gitea, MariaDB, Bunkerweb (обратный прокси/WAF).
phishinglab: Рабочий стол атаки, Gophish, Фишинговый сайт, сервер iRedMail.
breachlab: Рабочие столы атаки/защиты, DVWA, WackoPicko, Infection Monkey, MongoDB, Caldera.
soclab: Рабочий стол мониторинга, DVWA (+ secure + ModSecurity), Juice Shop, MariaDB, Wazuh (manager/indexer/dashboard), Splunk, Velociraptor, Bunkerweb (обратный прокси/WAF).
ransomwarelab: Рабочие столы атаки/защиты/мониторинга, сервис Ransomware.

Обзор сервисов

Рабочие столы: attack.lab (VNC на 6080), defense.lab (7080), monitor.lab (8080).
Веб-приложения: dvwa.lab, wackopicko.lab, juiceshop.lab, gitea.lab.
Почта/Фишинг: mail.server.lab (iRedMail), gophish.lab, phishing.lab.
Симуляция взлома: infectionmonkey.lab, mongodb.lab, caldera.lab.
Вымогательское ПО: ransomware.lab.

Учётные данные по умолчанию

VNC: attackpassword / defensepassword / monitorpassword (переопределяется через переменные окружения).
DVWA, WackoPicko, Juice Shop: пароли приложений по умолчанию (см. список Domain Access).
Gitea: csalab / giteapassword.
Gophish: пароль администратора из GOPHISH_PASS.
iRedMail: [email protected] / mailpassword.
Splunk: admin / splunkpassword.
Velociraptor: admin / veloxpassword.
Wazuh Dashboard/Indexer: admin / SecretPassword.

Сети

attack: 10.0.0.0/24 (внешняя сеть лаборатории атаки).
defense: 10.0.1.0/24 (внутренняя (истинная) сеть защиты).
public: 10.0.2.0/24 (открытая публичная подсеть).
monitor: 10.0.3.0/24 (внутренняя (истинная) сеть мониторинга).
internet: 10.0.4.0/24 (симулированная сеть, обращённая в интернет).
internal: 10.0.5.0/24 (внутренняя сеть "сервис-сервис").

Постоянные данные

Тома сохраняют состояние баз данных и приложений (MariaDB, Wazuh, Splunk, Gitea и т.д.).
Сброс состояния лаборатории: docker compose down -v удаляет контейнеры и тома.

Команды жизненного цикла

Запуск (все): docker compose --profile=all up -d.
Запуск (конкретный): docker compose --profile=<profile> up -d.
Остановка: docker compose down.
Статус: docker compose ps.
Логи: docker compose logs -f <service>.

Устранение неполадок

Сертификаты: Запустите docker compose -f generate-certs.yml run --rm generator перед первым запуском SOC-лаборатории.
Адрес привязки: Установите BIND_ADDR=127.0.0.1, чтобы привязать сервисы локально.
Конфликты портов: Измените порты хоста или остановите конфликтующие процессы.
Чистый лист: Используйте docker compose down -v для удаления постоянных данных.

Замечания по безопасности

Перед открытием сервисов измените все пароли по умолчанию через .env.
Избегайте широкого раскрытия сервисов; предпочтительнее использовать BIND_ADDR=127.0.0.1 и доступ через SOCKS5 или SSH.
Будьте осторожны с почтовыми и фишинговыми сервисами; используйте только тестовые домены и изолированные сети.

Доказательство

Caldera Secure DVWA Gitea Gophish Infectionmonkey Iredmail Juice Shop Mitmproxy Phishing Roundcube Splunk Wackopicko Wazuh

Открытые порты

Доступ к открытому порту можно получить через прокси SOCKS5, SSH-клиент или HTTP-клиент. Выберите наиболее подходящий вариант.

Порт 6080 (доступ к сети атаки)
Порт 7080 (доступ к сети защиты)
Порт 8080 (доступ к сети мониторинга)

Пример использования

Доступ к внутренней сети через прокси SOCKS5

curl --proxy socks5://ipaddress:6080 http://10.0.0.100/vnc.html
curl --proxy socks5://ipaddress:7080 http://10.0.1.101/vnc.html
curl --proxy socks5://ipaddress:8080 http://10.0.3.102/vnc.html

Удалённый SSH через SSH-клиент

ssh kali@ipaddress -p 6080 (пароль по умолчанию: attackpassword)
ssh kali@ipaddress -p 7080 (пароль по умолчанию: defensepassword)
ssh kali@ipaddress -p 8080 (пароль по умолчанию: monitorpassword)

Доступ к рабочему столу Kali Linux (cURL/Браузер)

Доступ по доменам

http://attack.lab/vnc.html (пароль по умолчанию: attackpassword)
http://defense.lab/vnc.html (пароль по умолчанию: defensepassword)
http://monitor.lab/vnc.html (пароль по умолчанию: monitorpassword)
https://gophish.lab/ (имя пользователя по умолчанию: admin, пароль по умолчанию: gophishpassword)
https://server.lab/ (имя пользователя по умолчанию: [email protected], пароль по умолчанию: mailpassword)
https://server.lab/iredadmin/ (имя пользователя по умолчанию: [email protected], пароль по умолчанию: mailpassword)
https://mail.server.lab/ (имя пользователя по умолчанию: [email protected], пароль по умолчанию: mailpassword)
https://mail.server.lab/iredadmin/ (имя пользователя по умолчанию: [email protected], пароль по умолчанию: mailpassword)
http://phishing.lab/
http://ransomware.lab/
http://10.0.0.200:8081/
http://gitea.lab/ (имя пользователя по умолчанию: csalab, пароль по умолчанию: giteapassword)
http://dvwa.lab/ (имя пользователя по умолчанию: admin, пароль по умолчанию: password)
http://dvwa-monitor.lab/ (имя пользователя по умолчанию: admin, пароль по умолчанию: password)
http://dvwa-modsecurity.lab/ (имя пользователя по умолчанию: admin, пароль по умолчанию: password)
https://bunkerweb.lab/setup
http://dvwa-bunkerweb.lab/ (имя пользователя по умолчанию: admin, пароль по умолчанию: password)

Сеть / IP-адреса

Attack (атака)

10.0.0.100 attack.lab
10.0.0.200 phishing.lab
10.0.0.201 server.lab
10.0.0.201 mail.server.lab
10.0.0.202 gophish.lab
10.0.0.203 ransomware.lab
10.0.0.110 infectionmonkey.lab
10.0.0.111 mongodb.lab
10.0.0.113 caldera.lab

Defense (защита)

10.0.1.101 defense.lab
10.0.1.10 dvwa.lab
10.0.1.13 wackopicko.lab
10.0.1.14 juiceshop.lab
10.0.1.20 gitea.lab
10.0.1.21 bunkerweb.lab
10.0.1.21 dvwa-bunkerweb.lab
10.0.1.21 wackopicko-bunkerweb.lab
10.0.1.21 juiceshop-bunkerweb.lab
10.0.1.110 infectionmonkey.lab
10.0.1.113 caldera.lab
10.0.1.203 ransomware.lab

Monitor (мониторинг)

10.0.3.201 server.lab
10.0.3.201 mail.server.lab
10.0.3.203 ransomware.lab
10.0.3.9 mariadb.lab
10.0.3.10 dvwa.lab
10.0.3.11 dvwa-monitor.lab
10.0.3.12 dvwa-modsecurity.lab
10.0.3.21 bunkerweb.lab
10.0.3.21 dvwa-bunkerweb.lab
10.0.3.21 wackopicko-bunkerweb.lab
10.0.3.21 juiceshop-bunkerweb.lab
10.0.3.102 monitor.lab
10.0.3.30 wazuh-manager.lab
10.0.3.31 wazuh-indexer.lab
10.0.3.32 wazuh-dashboard.lab
10.0.3.40 splunk.lab
10.0.3.41 velociraptor.lab

Public (публичная)

10.0.2.101 defense.lab
10.0.2.13 wackopicko.lab

Internet (интернет)

10.0.4.102 monitor.lab
10.0.4.30 wazuh-manager.lab
10.0.4.32 wazuh-dashboard.lab
10.0.4.40 splunk.lab
10.0.4.41 velociraptor.lab

Internal (внутренняя)

10.0.5.100 attack.lab
10.0.5.12 dvwa-modsecurity.lab
10.0.5.13 wackopicko.lab
10.0.5.21 bunkerweb.lab
10.0.5.21 dvwa-bunkerweb.lab
10.0.5.21 wackopicko-bunkerweb.lab
10.0.5.21 juiceshop-bunkerweb.lab

Лицензия

Данное приложение Docker Compose выпущено под лицензией MIT. Подробности см. в файле LICENSE.

Отказ от ответственности

Этот проект предназначен только для образовательных целей и лабораторного использования. Не выставляйте предоставленные сервисы напрямую в интернет или в производственные среды без усиления защиты и независимой проверки безопасности. Вы несёте единоличную ответственность за соблюдение применимых законов, нормативных актов и политик организации при развёртывании или использовании этого проекта.

Популярное

csaf