Detection Lab

自2023年1月1日起，DetectionLab不再被积极维护

DetectionLab

DetectionLab 每周六通过定时 CircleCI 工作流进行测试，以确保构建通过。

Maintenance

本实验室专为防御者设计。其主要目的是让用户快速搭建一个预装安全工具并遵循系统日志配置最佳实践的 Windows 域环境。它可以轻松修改以适应大多数需求，或扩展以包含更多主机。

注意：本实验室未经任何加固，且使用默认 Vagrant 凭据运行。请勿将其连接或桥接到您关心的任何网络。此实验室特意设计为不安全状态；其主要目的是为每个主机提供可见性和可检测性。

Microsoft Advanced Threat Analytics (https://www.microsoft.com/en-us/cloud-platform/advanced-threat-analytics) 安装在 WEF 机器上，轻量级 ATA 网关安装在 DC 上
Splunk 转发器已预装，所有索引已预先创建。技术附加组件也已预配置。
通过组策略设置自定义 Windows 审计配置，包括命令行进程审计和额外的操作系统级日志记录
实现了 Palantir 的 Windows 事件转发订阅和自定义通道
启用了 PowerShell 脚本转录日志。所有日志保存到 \\wef\pslogs
每个主机上都预装了 osquery，并预先配置为通过 TLS 连接到 Fleet 服务器。Fleet 已预配置了 Palantir 的 osquery 配置
使用 Olaf Hartong 开源 Sysmon 配置安装和配置了 Sysmon
通过 AutorunsToWinEventLog 将所有自动启动项记录到 Windows 事件日志
Zeek 和 Suricata 已预配置，用于监控和告警网络流量
安装 Apache Guacamole，方便从本地浏览器访问所有主机

在本地准备构建 Detection Lab 时，请确保使用 Vagrant 文件夹内的 prepare.[sh|ps1] 脚本，以确保系统满足构建 Detection Lab 的前提条件检查。

请在你自己的 DetectionLab 分支的功能分支上进行所有开发。贡献指南在此： CONTRIBUTING.md

此代码的相当一部分借用并改编自 Stefan Scherer 的 packer-windows 和 adfs2 GitHub 仓库。非常感谢他为我设计此实验室环境奠定了基础。

我要感谢过去几年里赞助 DetectionLab 的所有人。DetectionLab 不再被积极维护或开发。