dfir-attack-lab

Acerca del proyecto

DFIR Attack Lab es un entorno de simulación meticulosamente diseñado que recrea escenarios de ciberataques del mundo real para formar a profesionales de ciberseguridad en Digital Forensics and Incident Response. DFIR es la disciplina de investigar incidentes de seguridad después de que ocurren — identificando qué pasó, cómo accedió el atacante, qué datos se comprometieron y qué pasos son necesarios para recuperarse y evitar recurrencias. El laboratorio proporciona una colección de escenarios de ataque preconstruidos que reflejan incidentes reales observados en entornos empresariales. Cada escenario incluye una cadena de ataque completa — desde el acceso inicial (correo de phishing, vulnerabilidad explotada, credenciales comprometidas) pasando por escalada de privilegios, movimiento lateral, exfiltración de datos y mecanismos de persistencia. Para cada escenario, el laboratorio genera artefactos forenses realistas: Windows Event Logs, entradas Syslog, capturas de paquetes de red (archivos PCAP), volcados de memoria, datos de línea temporal del sistema de archivos y modificaciones de hives del registro. Los investigadores pueden practicar todo el ciclo de vida DFIR: preservación de evidencias y cadena de custodia, análisis forense de disco y memoria con herramientas como Volatility y Autopsy, análisis temporal para reconstruir la secuencia de eventos, extracción de indicadores de compromiso (IOC), triaje de malware y sandboxing, y redacción de informes completos. El laboratorio se ejecuta completamente en contenedores Docker, lo que garantiza entornos consistentes en distintas máquinas y sistemas operativos. Cada escenario incluye una 'hoja de respuestas' detallada que guía el proceso de investigación esperado, lo que lo hace ideal tanto para autoestudio como para programas de formación dirigidos por instructores.

Por qué importa esto

La demanda de profesionales DFIR cualificados supera con creces la oferta, creando una brecha crítica de habilidades en ciberseguridad. La formación en forense digital requiere acceso a entornos controlados con artefactos realistas, algo difícil y costoso de crear desde cero. Los entornos de producción no pueden utilizarse para formación debido a preocupaciones de privacidad, restricciones legales y el riesgo de interferir con las operaciones reales del negocio. Los cursos tradicionales de formación DFIR cuestan miles de dólares y a menudo solo están disponibles en fechas y lugares específicos. Este laboratorio democratiza la educación DFIR proporcionando una plataforma gratuita y open-source que cualquiera puede usar para desarrollar sus habilidades de investigación forense. Es especialmente valioso para analistas de SOC que buscan avanzar hacia roles de respuesta a incidentes, programas universitarios de ciberseguridad que necesitan ejercicios prácticos de laboratorio y organizaciones que están construyendo capacidades internas DFIR. Cada escenario está mapeado al marco MITRE ATT&CK, garantizando que los profesionales aprendan a identificar y documentar técnicas de ataque utilizando la taxonomía estándar de la industria, algo esencial para compartir inteligencia de amenazas y mejorar las defensas de la organización.

Guía paso a paso

1. Inicia el entorno del laboratorio ejecutando 'docker-compose up -d' desde el directorio raíz del proyecto. Esto levantará todos los contenedores necesarios, incluyendo máquinas víctima, infraestructura atacante, servidores de registro y la estación de trabajo para análisis forense. La configuración inicial tarda aproximadamente 5-10 minutos.
2. Explora el directorio /scenarios y selecciona un escenario de formación. Cada escenario tiene un README.md que describe el ataque simulado, los objetivos de aprendizaje, el nivel de dificultad (principiante/intermedio/avanzado) y el tiempo estimado de finalización. Empieza con 'scenario-01-phishing-compromise' si eres nuevo en DFIR.
3. Ejecuta la simulación del ataque utilizando los scripts proporcionados, que generarán automáticamente todos los artefactos forenses. Alternativamente, utiliza los paquetes de artefactos pre-generados si quieres pasar directamente a la fase de investigación. Todos los artefactos se colocan en el directorio /evidence de cada escenario.
4. Realiza tu investigación forense utilizando las herramientas de análisis incluidas en el laboratorio (Volatility, Autopsy, Wireshark, YARA). Documenta tus hallazgos usando la plantilla de informe incluida. Compara tus resultados con la hoja de respuestas del escenario en /solutions para evaluar tu análisis e identificar áreas de mejora.

Tecnologías utilizadas