Ludus Defender 实验室

用于 Windows 安全实验室的 Ludus range 配置和 Ansible 角色，预先配置了 MDE 和 MDI，并包含一个完全错误配置的 ADCS 安装，用于检测覆盖测试。

要求

• 已安装并配置 Ludus
• 已在你的环境中设置 LUDUS_API_KEY
• VM 模板：win2022-server-x64-template

部署

# Install roles (run on Ludus host with API key set)
cd roles/
./install-roles.sh

# Set config and deploy
ludus range config set -f zsec-mde-mdi-lab.yml
ludus range deploy

MDE 和 MDI 不会自动安装。range 启动后，从 security.microsoft.com 载入两者：

1. MDE — 终结点 → 设备管理 → 载入 → Windows Server 2022。在 DC01 和 WKS01 上运行载入脚本。
2. MDI — 设置 → 标识 → 传感器 → 添加传感器。下载并在 DC01 上运行传感器安装程序。

# Snapshot after onboarding so you can revert without repeating the process
ludus range snapshot create --name post-onboarding

环境设置

环境特定值（域名、密码、主机名）内联出现在整个配置中。文件顶部的参考表列出了每个值及其使用位置 — 部署前使用查找替换进行更新。

共享的 MDE 先决条件设置位于 global_role_vars（应用于所有 VM）。DC 特定的覆盖项位于 DC01 的 role_vars 中，并自动优先。

dns_rewrites 中的复合 FQDN 和 SPN 字符串需要单独更新。

角色

所有角色都位于 roles/ 中。安装脚本会处理所有内容。

通过 Ansible Galaxy 安装的社区角色：badsectorlabs.ludus_adcs（DC01）。

致谢

enable_asr 和 enable_mdi_gpo 源自 @curi0usJack 在 curi0usJack/Ludus-MDE-MDI-Roles 的工作。本仓库将这些角色扩展为统一的 DC↔WKS 设置，并添加了 ADCS 错误配置层、MDE 先决条件强化、WEF 管道以及其他角色。

AD CS 实验室是我的课程中的片段