dfir-attack-lab

À propos du projet

DFIR Attack Lab est un environnement de simulation méticuleusement conçu qui recrée des scénarios d'attaques cyber réelles pour former les professionnels de la cybersécurité en Digital Forensics and Incident Response. DFIR est la discipline qui consiste à enquêter sur les incidents de sécurité après leur survenue — identifier ce qui s'est passé, comment l'attaquant a obtenu l'accès, quelles données ont été compromises et quelles mesures sont nécessaires pour récupérer et prévenir une récidive. Le laboratoire fournit une collection de scénarios d'attaque préconstruits qui reflètent des incidents réels observés dans des environnements d'entreprise. Chaque scénario comprend une chaîne d'attaque complète — de l'accès initial (email de phishing, vulnérabilité exploitée, identifiants compromis) à l'élévation de privilèges, au mouvement latéral, à l'exfiltration de données et aux mécanismes de persistance. Pour chaque scénario, le laboratoire génère des artefacts forensiques réalistes : journaux d'événements Windows, entrées Syslog, captures de paquets réseau (fichiers PCAP), dumps mémoire, données de chronologie du système de fichiers et modifications des ruches de registre. Les enquêteurs peuvent s'exercer à l'ensemble du cycle de vie DFIR : préservation des preuves et chaîne de conservation, forensique disque et mémoire à l'aide d'outils comme Volatility et Autopsy, analyse chronologique pour reconstituer la séquence des événements, extraction des indicateurs de compromission (IOC), triage et sandboxing de malwares, et rédaction de rapports complets. Le laboratoire fonctionne entièrement dans des conteneurs Docker, garantissant des environnements cohérents sur différentes machines et différents systèmes d'exploitation. Chaque scénario inclut une 'réponse modèle' détaillée qui décrit le processus d'enquête attendu, ce qui le rend idéal à la fois pour l'autoformation et pour les programmes de formation dirigés par un formateur.

Pourquoi c'est important

La demande pour des professionnels DFIR qualifiés dépasse largement l'offre, créant un écart critique de compétences en cybersécurité. La formation en forensic numérique nécessite l'accès à des environnements contrôlés avec des artefacts réalistes — quelque chose de difficile et coûteux à créer à partir de zéro. Les environnements de production ne peuvent pas être utilisés pour la formation en raison des préoccupations de confidentialité, des restrictions légales et du risque d'interférer avec les opérations métier réelles. Les formations DFIR traditionnelles coûtent des milliers d'euros et ne sont souvent disponibles qu'à des dates et lieux spécifiques. Ce laboratoire démocratise l'éducation DFIR en fournissant une plateforme gratuite et open source que chacun peut utiliser pour développer ses compétences d'enquête forensique. Il est particulièrement utile pour les analystes SOC souhaitant évoluer vers des rôles de réponse à incident, pour les programmes universitaires de cybersécurité nécessitant des exercices pratiques, et pour les organisations qui construisent leurs capacités DFIR internes. Chaque scénario est mappé au cadre MITRE ATT&CK, garantissant que les praticiens apprennent à identifier et documenter les techniques d'attaque à l'aide de la taxonomie standard du secteur, essentielle pour le partage de renseignements sur les menaces et l'amélioration des défenses organisationnelles.

Guide étape par étape

1. Démarrez l'environnement du laboratoire en exécutant 'docker-compose up -d' depuis le répertoire racine du projet. Cela lancera tous les conteneurs nécessaires, y compris les machines victimes, l'infrastructure attaquante, les serveurs de journalisation et le poste de travail d'analyse forensique. La configuration initiale prend environ 5 à 10 minutes.
2. Parcourez le répertoire /scenarios et sélectionnez un scénario de formation. Chaque scénario dispose d'un README.md décrivant l'attaque simulée, les objectifs pédagogiques, le niveau de difficulté (débutant/intermédiaire/avancé) et le temps de réalisation estimé. Commencez par 'scenario-01-phishing-compromise' si vous débutez en DFIR.
3. Exécutez la simulation d'attaque à l'aide des scripts fournis, qui généreront automatiquement tous les artefacts forensiques. Vous pouvez également utiliser les ensembles d'artefacts pré-générés si vous souhaitez passer directement à la phase d'enquête. Tous les artefacts sont placés dans le répertoire /evidence de chaque scénario.
4. Menez votre enquête forensique à l'aide des outils d'analyse inclus dans le laboratoire (Volatility, Autopsy, Wireshark, YARA). Documentez vos conclusions à l'aide du modèle de rapport inclus. Comparez vos résultats à la réponse modèle du scénario dans /solutions pour évaluer votre analyse et identifier les axes d'amélioration.

Technologies utilisées