ADTrapper - Active Directory 安全分析平台

概述

ADTrapper 是一个全面的安全分析平台，专为网络安全专业人员设计，用于分析 Windows Active Directory 身份验证日志。该平台提供高级威胁检测、异常分析和交互式可视化，帮助识别和调查安全事件。

主要功能

• 54+ 检测规则 - 暴力破解、密码喷洒、权限提升、ADCS 攻击等
• 交互式可视化 - 用于网络关系的力导向图
• SharpHound 集成 - 上传 BloodHound 收集数据以进行 AD 分析
• 无需身份验证 - 匿名上传，立即开始分析
• 自包含 Docker 部署 - 一条命令即可运行

快速开始

前置条件

• Docker 和 Docker Compose
• Git

1. 克隆并配置

git clone https://github.com/MHaggis/ADTrapper.git
cd ADTrapper

# 复制示例环境文件
cp env.example .env

# (可选) 为生产环境生成安全密码
# echo "POSTGRES_PASSWORD=$(openssl rand -base64 32)" >> .env

2. 启动服务

# 选项 1: 使用部署脚本（推荐）
./deploy.sh

# 选项 2: 手动启动
docker compose up -d
docker compose exec -T database psql -U postgres < supabase/migrations/0001_simple_setup.sql

3. 访问应用

• 应用: http://localhost:3000
• 数据库: localhost:54325（如需直接访问）

无需身份验证 - 立即开始上传日志！

数据收集

Windows 身份验证日志

使用附带的 PowerShell 脚本来收集身份验证日志。以管理员身份运行以获得完整访问权限：

# 显示帮助和所有选项
Get-Help .\capture.ps1 -Detailed

# 基本收集（最近 24 小时）
.\capture.ps1

# 扩展收集，包含 AD 增强
.\capture.ps1 -Hours 48 -EnrichWithAD

# 包含 AD CS 证书事件（用于 ADCS 攻击检测）
.\capture.ps1 -ADCS -EnrichWithAD

# 完整收集，包含原始 CA 数据库分析（仅限 CA 服务器）
# 警告：这会导致证书颁发机构服务暂时停止！
.\capture.ps1 -ADCS -RawDatabase -EnrichWithAD

# 以 CSV 格式导出（而非 JSON）
.\capture.ps1 -Hours 24 -Format csv -OutputPath C:\Logs\events.csv

收集器功能

支持的事件类型

身份验证事件：

• 4624/4625：登录成功/失败
• 4634/4647：注销事件
• 4648：显式凭据使用
• 4768/4769/4771：Kerberos 身份验证
• 4776：NTLM 身份验证
• 4740/4742：账户锁定/更改

AD CS 事件（使用 -ADCS）：

• 证书请求和颁发
• 模板修改
• CA 安全更改
• ESC1-ESC11 攻击指标

SMB 事件：

• 5140/5145：共享访问和枚举

SharpHound 集成

ADTrapper 支持 SharpHound 数据，用于全面的 AD 分析：

SharpHound.exe -c All -d YOURDOMAIN.COM --outputdirectory C:\Temp\

将生成的 ZIP 文件上传至 ADTrapper 进行自动分析。

容器管理

# 查看状态
docker compose ps

# 查看日志
docker compose logs -f app
docker compose logs -f database

# 重启服务
docker compose restart

# 停止服务
docker compose down

# 全新部署（警告：会删除所有数据）
./deploy-fresh.sh

数据库备份与恢复

# 备份
docker compose exec database pg_dump -U postgres postgres > backup.sql

# 恢复
docker compose exec -T database psql -U postgres postgres < backup.sql

配置

环境变量

参见 env.example 获取所有可用选项：

故障排除

数据库表未找到（500 错误）：

docker compose exec -T database psql -U postgres < supabase/migrations/0001_simple_setup.sql

端口冲突：

lsof -i :3000
lsof -i :54325

应用无响应：

docker compose logs app
docker compose restart

生产部署

对于生产环境部署：

1. 在 .env 文件中设置安全的 POSTGRES_PASSWORD
2. 使用适当的 SSL 证书启用 HTTPS
3. 配置防火墙规则以限制数据库访问
4. 设置定期数据库备份
5. 考虑使用反向代理（nginx、traefik）

云部署选项

• AWS ECS/Fargate 搭配 RDS PostgreSQL
• Google Cloud Run 搭配 Cloud SQL
• Azure Container Instances 搭配 PostgreSQL
• DigitalOcean App Platform

技术栈

• 前端：Next.js 14、TypeScript、Tailwind CSS
• 后端：Node.js 20 LTS、PostgreSQL 15
• 部署：Docker 容器搭配 Docker Compose
• 可视化：自定义 Canvas 配合力模拟
• CI/CD：GitHub Actions 自动化测试和安全扫描

贡献

我们欢迎贡献：

1. Fork 本仓库
2. 创建功能分支
3. 进行修改并编写测试
4. 提交 Pull Request

许可证

Apache 许可证 2.0 - 参见 LICENSE 文件