Laforge

Фреймворк для автоматизации инфраструктуры соревнований по информационной безопасности

Laforge позволяет быстро разрабатывать инфраструктуру для соревнований по информационной безопасности. Используя простой и интуитивно понятный язык конфигурации, Laforge управляет графом зависимостей и состоянием, что позволяет эффективно удаленно сотрудничать. Движок Laforge использует собственный загрузчик для многомерного, неразрушающего наложения конфигураций. Хорошая аналогия — Docker: когда вы собираете Docker-контейнер, он строится слой за слоем. Именно эта мощь вдохновила нас на создание Laforge. Это, безусловно, нишевой проект, но мы нашли для него невероятное применение.

ПРИМЕЧАНИЕ — В настоящее время мы находимся в предварительной версии v0.0.1. API могут измениться (хотя я постараюсь минимизировать это), и вы, скорее всего, столкнетесь с ошибками. Пожалуйста, сообщайте о них и, что еще лучше, отправляйте мне pull request :)

Возможности

Кроссплатформенность
Портативность — устанавливается как отдельный нативный исполняемый файл.
Используйте то, что вам нравится — приносите свой язык сценариев
Быстрота.
Создайте один раз, клонируйте на n команд (парадигма соревнований по безопасности)
Совместная работа — делает работу в распределенных группах очень эффективной

ЧаВо

Что такое Laforge?

Laforge — это фреймворк, который позволяет проектировать и реализовывать соревнования по безопасности масштабируемым, совместным и увлекательным способом! Вы пишете конфигурации на Laforge Config Language и используете CLI-инструмент для проверки, валидации, сборки и подключения к удаленной инфраструктуре. Исторически он в основном поддерживал Terraform в качестве "бэкенда" (генерирует сложные конфигурации Terraform), но это быстро изменится в ближайшие недели и месяцы. В настоящее время Laforge обеспечивает все управление инфраструктурой National Collegiate Penetration Testing Competition и поддерживал развертывание игр с >1400 уникальными узлами.

Зачем он был создан?

Три причины:

Специалисты по безопасности не всегда хорошо разбираются в инструментах операционной/инфраструктурной/devops-работы. У них довольно крутая кривая обучения, особенно когда добровольцев просят разобраться в этом в свободное от работы время. Чтобы упростить задачу, мы хотели создать инструмент, который, по сути, делал бы самую сложную часть за них.
Когда мы углубились, то заметили, что широко используемые фреймворки автоматизации имеют ряд болевых точек при построении инфраструктуры соревнований по безопасности. Есть вещи, которые должны происходить в соревнованиях по безопасности, но не поддерживаются в реальном мире:
- широкая совместимость с большим количеством операционных систем и программного обеспечения;
- возможность массового "клонирования" — сделать снимок игровой инфраструктуры и клонировать его 10-20 раз — по одному на каждую команду;
- гибкость развертывания одних и тех же стеков на широком наборе возможных инфраструктур — VMWare, AWS, GCP и т.д.
Потому что соревнования этого заслуживают! Мы работаем с одними из самых увлеченных людей над этими проектами, и все, что может улучшить наш совместный опыт, — это беспроигрышный вариант для нас.

Почему не использовать современные DevOps-инструменты?

Нет нужды вступать в холивар по поводу того или иного инструмента. Откровенно говоря, они нам нравятся. Наша главная жалоба в целом — учитывая их фрагментированность, трудно стать действительно хорошим в каком-то одном из них. Нам нравится Terraform, и он был нашим основным бэкендом с самого начала.

Как он масштабируется?

Мы использовали различные итерации LaForge для создания сред соревнований с сотнями хостов для почти 30 команд. Короче говоря, он может масштабироваться настолько, насколько позволяет ваше воображение (и бюджет/ресурсы). Более того, мы использовали этот инструмент в команде из более чем 15 волонтеров-разработчиков, каждый из которых работал над своими компонентами, и учли их отзывы в последних версиях.

А как насчет производительности?

В зависимости от сложности вашей среды, создание вывода LaForge может занять секунды или минуты. В конечном итоге вы потратите больше времени на развертывание систем в выбранной среде с помощью Terraform или Vagrant, чем на генерацию соответствующих конфигураций для них.

Готов ли он к production?

Если под production вы подразумеваете разработку живых сред соревнований, LaForge использовался более трех лет в "продакшн"-режиме. Если вы имеете в виду живые системы в вашей компании или организации, он, вероятно, будет работать хорошо, но используйте на свой страх и риск.

Установка

$ go get github.com/gen0cide/laforge/cmd/laforge

Быстрый старт

laforge configure
laforge init
laforge example <model>

Объектные модели

Network
Script
Environment
AMI
DNS Record
Identity
Command
Remote File
Host

План развития

Зал славы

наставники, участники и хорошие друзья Laforge

@1njecti0n
@emperorcow
@vyrus001
@bstax
@cmbits
@tomk
@brianc
@rossja
@kos
@dcam
@davehughes
@mbm
@maus
@javuto

Благодарности

National CPTC и Консультативный совет CPTC, который был так терпелив со мной, пока я работал над этим.
Рочестерский технологический институт За то, что дал нам место для экспериментов и продвижения как технологий, так и кадров нашей отрасли.

laforge

Популярное