• Windows Server 2016 в качестве контроллера домена
• Windows 10 Desktop (версия 21H2) в качестве компьютера домена
• Graylog 3.3 (версия Open Source) работает как сборщик логов на Ubuntu 18.04 LTS
• Использование драйверов VirtIO для наилучшей производительности
• Включены службы RDP и WinRM
• Заполненный Active Directory случайными пользователями
• Sysmon (из Windows Sysinternals) установлен и работает на компьютерах домена
• NXLog Collector работает на компьютерах домена и пересылает логи на Graylog
• Настроенная таблица поиска GeoIP и pipeline для IP-адресов в Graylog (полезно для отображения карты неверных попыток входа по RDP)
• Карта мира Graylog для атак RDP
• дополнительная ВМ Kali, подключенная к подсети Windows для отработки техник атак

Требования к хост-системе

Виртуализация требует некоторых ресурсов вашей хост-системы:

• ~100 ГБ дискового пространства для базовых образов и разреженных образов гостевых компьютеров.
• как минимум 4 x 4 ГБ памяти для гостевых машин (может работать и с менее чем 16 ГБ из-за переподписки)
• установленный актуальный libvirt с QEMU/KVM (официальные текущие пакеты в Ubuntu 18.04 LTS должны работать)
• Python 3 (желательно с venv) для Ansible

Тестировалось на хост-системе Ubuntu 18.04 LTS.

Установка и использование

Сначала клонируйте репозиторий:

Перед началом работы с Packer установите начальные пароли (следите за требованиями к сложности):

Packer

Теперь создайте начальные образы.

Установочные носители Windows Server 2016 и Ubuntu должны быть загружены скриптом Packer. VirtIO необходимо загрузить с помощью прилагаемого скрипта get-virtio.sh:

Windows 10 необходимо загрузить вручную, получив временную ссылку для скачивания и сохранив ее в папку ISO. Ссылку для скачивания можно получить здесь. Выберите английскую (международную) 64-битную версию и сохраните ISO как ISO/Win10_21H2_EnglishInternational_x64.iso.

Для сопоставления IP-адресов с местоположением на карте мира в Graylog необходима база данных GeoIP MaxMind. К сожалению, из-за лицензионных ограничений она не может быть распространена, поэтому вам придется загрузить ее вручную (после регистрации) с сайта MaxMind. Бесплатная версия GeoLite2 должна подойти, получите базу данных "GeoLite2 City" в формате MMDB (скачайте GZIP и распакуйте) и поместите ее по пути resources/GeoLite2-City.mmdb.

Если у вас нет Packer, загрузите последнюю версию с сайта packer.io (скачайте предварительно скомпилированный бинарник) или попробуйте добавить репозиторий Hashicorp в вашу систему пакетов (полезно и для Terraform).

Если вы пересобираете образы, не забудьте очистить предыдущие сборки:

Если вы хотите перезагрузить образы, удалите packer_cache:

После этих подготовительных шагов запустите сборки Packer параллельно:

Образы должны быть готовы за разумное время (~20-30 минут в зависимости от мощности вашего хост-оборудования).

Terraform

Теперь инфраструктура может быть развернута с помощью Terraform.

Получите Terraform (>=0.13), если у вас его нет (посмотрите методы установки в разделе Packer выше).

Провайдер Terraform для libvirt должен быть автоматически загружен из Terraform Registry во время фазы apply.

Перейдите в папку Terraform:

Инициализируйте рабочую директорию (требуется только при первом использовании):

Соберите и запустите инфраструктуру ("примените изменения"):

Обратите внимание: если пользователь, запускающий terraform apply, не является root, требуются привилегии sudo для выполнения /usr/sbin/iptables (без пароля).

Через короткое время (~2-3 минуты) сеть и виртуальные машины будут запущены и работать. Если возникнут какие-либо сбои, terraform destroy может не помочь, может потребоваться ручное удаление ресурсов.

ПРЕДУПРЕЖДЕНИЕ: Вы должны позаботиться о защите вашей частной сети. Предоставленная здесь конфигурация terraform (main.tf) содержит только пользовательское правило брандмауэра для моей собственной тестовой среды (блокировка исходящего трафика назначения 192.168.0.0/16 из сети honeypot 192.168.3.0/24).

Далее следует этап настройки.

Ansible

Перейдите в папку ansible:

Рекомендуемый метод установки — установка последней версии Ansible с некоторыми необходимыми дополнительными зависимостями в виртуальном окружении Python venv:

Для последующего использования просто активируйте venv командой

И выполните deactivate, если он больше не нужен в вашей текущей сессии.

Вы должны поместить открытый ключ SSH с именем файла id.pub (используйте ssh-keygen) в папку ansible для доступа к машине Ubuntu Graylog от пользователя ubuntu (ansible добавит его в ~ubuntu/.ssh/authorized_keys).

Файл wordlist.txt содержит некоторые (намеренно слабые) пароли для созданных пользователей домена, которые можно настроить.

Запустите фазу настройки:

Через 20-25 минут всё готово.

Развернутая система

Согласно конфигурации сети libvirt (NAT), хосты могут обращаться к публичному интернету (если ваша хост-система это позволяет).

Доступ к хостам возможен через хост-систему. Практически очень удобно использовать SSH socks-туннель и proxychains для доступа к RDP или WinRM.

Например, если IP вашего хоста libvirt равен 192.168.0.10, создайте socks-туннель, слушающий на localhost:5000 командой

И подключитесь к рабочему столу Windows 10 (используя соответствующий /etc/proxychains.conf, настроенный на туннель :5000):

Или откройте веб-интерфейс Graylog, слушающий на :9000 локально на сервере Graylog Ubuntu, через SSH ProxyJump и пользовательский форвард-туннель:

Затем откройте URL http://localhost:9000 — вы попадете в веб-интерфейс Graylog.

Для активации RDP honeypot просто разрешите публичный доступ к 192.168.3.112:3389 (например, с помощью настройки перенаправления портов на вашем роутере и правил iptables на хост-машине; мой вспомогательный скрипт — rdp_public.sh) и наблюдайте за Graylog. ;)