Azure 红队攻击与检测工作坊

这是一个刻意设计为易受攻击的 Azure 实验环境，包含 2 条攻击路径，具有常见错误配置。这些漏洞旨在代表真实生产环境中存在的漏洞，并且攻击向量旨在尽可能接近真实威胁行为者的 TTP（战术、技术与程序）。如果您想了解这些攻击路径向量会触发哪些检测和警报，我建议注册 Microsoft E5 试用版，其中包含 Microsoft Defender for Cloud 和 Azure AD Premium P2 计划。有关注册 Azure 开发者帐户的链接可在 resources.txt 文件中找到。

作者 - Roxana Kovaci (@RoxanaKovaci)

要求

• Azure 租户
• Azure CLI
• Terraform 版本 1.2.2 或更高版本
• 在 AAD 租户中具有全局管理员角色的 Azure 用户
• 在 kc1.tf 的第 248-249 行添加您的外部 IP

部署

az login
git clone https://github.com/mandiant/Azure_Workshop.git
cd Azure_Workshop
cd kc1

terraform init
terraform validate

terraform plan -out kc1.tfplan
terraform apply kc1.tfplan

cd ../kc2

terraform init
terraform validate

terraform plan -out kc2.tfplan
terraform apply kc2.tfplan

开始使用

• 每个攻击链的入口点是 user1。要获取初始用户的凭据，请运行以下查询：

terraform output

攻击链目标和其他资源

攻击链 #1：

• 目标：获取客户 PII 数据的访问权限。

• 解决方案：完整的攻击路径解决方案可以在 kc1/kc1_solution.txt 中找到

攻击链 #2：

• 目标：获取超级机密文件的访问权限。

• 解决方案：完整的攻击路径解决方案可以在 kc2/kc2_solution.txt 中找到

每个攻击链的文件夹中都包含 Terraform 脚本（以及部署所需的其他前置文件）和挑战的解决方案。

其他资源和有用的学习链接可以在 resources.txt 文件中找到。

清理

完成每个攻击链场景后，您可以删除之前添加到租户中的所有资源：

az login

cd kc1
terraform destroy

cd ../kc2
terraform destroy