Splunk Attack Range v5

Splunk Attack Range создаёт инструментированные облачные среды (AWS, Azure, GCP), имитирует атаки и пересылает данные в Splunk для разработки и тестирования правил детектирования.

Что он делает:

• Строит лаборатории — развёртывает небольшую, приближённую к production среду (Splunk, серверы Windows/Linux, опционально Kali, Zeek и т.д.) через Terraform и Ansible.
• Имитирует атаки — запускает техники Atomic Red Team (и другие) для генерации реальной телеметрии.
• Открывает общий доступ — использует WireGuard VPN; генерирует дополнительные конфигурации клиентов для предоставления доступа к лаборатории другим пользователям.

Нажмите на картинку, чтобы посмотреть демо 👇

---

Начало работы

Рекомендуемый способ: Docker Compose

1. Предварительные требования: Docker и Docker Compose. Настройте своего облачного провайдера (AWS, Azure или GCP) и смонтируйте учётные данные, как указано ниже.

2. Клонируйте и запустите:

   root@kitploit:~

   git clone <repo-url>
   cd attack_range_2
   docker compose -f docker/docker-compose.yml up
   

3. Используйте приложение или API:

   • Веб-приложение: откройте http://localhost:4321 — создавайте/уничтожайте лаборатории, просматривайте статус, запускайте симуляции, предоставляйте доступ.
   • API: http://localhost:4000 — REST API; интерактивная документация по адресу http://localhost:4000/openapi/swagger.

4. Постройте лабораторию (два шага):

   • В приложении: выберите шаблон (например, aws/splunk_minimal_aws) и начните сборку. Когда статус станет Waiting for VPN, скачайте конфигурацию WireGuard, подключитесь через WireGuard, затем продолжите сборку.
   • Или через API: POST /attack-range/build с телом {"template": "aws/splunk_minimal_aws"}, опрашивайте GET /attack-range/status/<id>, используйте полученную конфигурацию WireGuard, подключитесь, затем POST /attack-range/build с телом {"attack_range_id": "<id>"}.

5. CLI в Docker (опционально):

   root@kitploit:~

   docker compose --profile cli -f docker/docker-compose.yml run --rm attack_range build -t aws/splunk_minimal_aws
   

   Другие действия: destroy, simulate, apply-role, share. Подробное описание использования CLI и флагов см. в полной документации.

---

Способы запуска

---

Документация

• Полная документация (Read the Docs): https://attack-range.readthedocs.io/
• Разделы: Начало работы, Конфигурация, Сеть, Совместное использование, Шаблоны, Роли Ansible

---

Краткая справка

• Конфигурации: Каждая лаборатория имеет конфигурацию в config/<attack_range_id>.yml. Шаблоны находятся в templates/{aws,azure,gcp}/.
• Учётные данные: Настройте ~/.aws, ~/.azure или ~/.config/gcloud и смонтируйте их в контейнеры (см. docker/docker-compose.yml).
• Поддержка: GitHub issues и CONTRIBUTING.

---

Поддержка

Пожалуйста, используйте GitHub issue tracker для отправки сообщений об ошибках или запросов новых функций.

Если у вас есть вопросы или вам нужна поддержка, вы можете:

• Присоединиться к комнате #security-research в канале Splunk Slack
• Задать вопрос на Splunk Answers
• Если вы являетесь клиентом Splunk Enterprise с действующим контрактом на поддержку и у вас есть вопрос, связанный со Splunk, вы также можете открыть обращение в службу поддержки на портале https://www.splunk.com/

---

Участие в разработке

Мы приветствуем отзывы и вклад от сообщества! Пожалуйста, ознакомьтесь с нашими правилами внесения вклада, чтобы узнать больше о том, как принять участие.

---

Автор

• Jose Hernandez
• Patrick Bareiß

Соавторы

• Bhavin Patel
• Rod Soto
• Russ Nolen
• Phil Royer
• Joseph Zadeh
• Rico Valdez
• Dimitris Lambrou
• Dave Herrald
• Ignacio Bermudez Corrales
• Peter Gael
• Josef Kuepker
• Shannon Davis
• Mauricio Velazco
• Teoderick Contreras
• Lou Stella
• Christian Cloutier
• Eric McGinnis
• Micheal Haag
• Gowthamaraj Rajendran
• Christopher Caldwell
• Zachary Christensen
• JerinSaji0
• Michal Cichorz