dfir-attack-lab

אודות הפרויקט

DFIR Attack Lab היא סביבת סימולציה שתוכננה בקפידה וממחזרת תרחישי cyberattack מהעולם האמיתי לצורך הכשרת אנשי cybersecurity ב-Digital Forensics and Incident Response. ‏DFIR הוא התחום של חקירת אירועי אבטחה לאחר התרחשותם — זיהוי מה קרה, כיצד התוקף השיג גישה, אילו נתונים נפגעו, ואילו צעדים נדרשים להתאוששות ולמניעת הישנות. המעבדה מספקת אוסף של תרחישי תקיפה מוכנים מראש, המשקפים אירועים אמיתיים שנצפו בסביבות enterprise. כל תרחיש כולל שרשרת תקיפה מלאה — מגישה ראשונית (email פישינג, פגיעות מנוצלת, אישורים שנפגעו) דרך privilege escalation, lateral movement, data exfiltration ומנגנוני persistence. עבור כל תרחיש, המעבדה מייצרת ממצאים פורנזיים מציאותיים: Windows Event Logs, רשומות Syslog, לכידות מנות רשת (קבצי PCAP), dump-ים של זיכרון, נתוני ציר זמן של מערכת הקבצים ושינויים ב-registry hive. חוקרים יכולים לתרגל את כל מחזור החיים של DFIR: שימור ראיות ו-chain of custody, פורנזיקה של דיסק וזיכרון באמצעות כלים כמו Volatility ו-Autopsy, ניתוח ציר זמן לשחזור רצף האירועים, חילוץ אינדיקטורים לפגיעה (IOC), triage ל-malware ו-sandboxing, וכתיבת דוחות מקיפה. המעבדה רצה כולה בקונטיינרים של Docker, מה שמבטיח סביבות עקביות במכונות ומערכות הפעלה שונות. כל תרחיש כולל 'answer key' מפורט שמוביל דרך תהליך החקירה הצפוי, מה שהופך אותה לאידיאלית הן ללמידה עצמית והן לתוכניות הכשרה בהנחיית מדריך.

למה זה חשוב

הביקוש לאנשי DFIR מיומנים עולה בהרבה על ההיצע, ויוצר פער כישורים קריטי ב-cybersecurity. הכשרה בפורנזיקה דיגיטלית דורשת גישה לסביבות מבוקרות עם ממצאים מציאותיים — דבר שקשה ויקר ליצור מאפס. אי אפשר להשתמש בסביבות ייצור להכשרה בשל חששות פרטיות, מגבלות משפטיות והסיכון להפריע לפעילות עסקית אמיתית. קורסי הכשרה מסורתיים ב-DFIR עולים אלפי דולרים ולעיתים זמינים רק בזמנים ובמיקומים מסוימים. מעבדה זו עושה דמוקרטיזציה לחינוך ב-DFIR באמצעות פלטפורמה חינמית ו-open-source שכל אחד יכול להשתמש בה לפיתוח מיומנויות חקירה פורנזית. היא בעלת ערך מיוחד לאנליסטי SOC המעוניינים להתקדם לתפקידי תגובה לאירועים, לתוכניות cybersecurity באוניברסיטאות הזקוקות לתרגולים מעשיים, ולארגונים הבונים יכולות DFIR פנימיות. כל תרחיש ממופה ל-MITRE ATT&CK, מה שמבטיח שהמתרגלים לומדים לזהות ולתעד טכניקות תקיפה באמצעות הטקסונומיה הסטנדרטית בתעשייה, דבר החיוני לשיתוף threat intelligence ולשיפור ההגנות הארגוניות.

מדריך שלב-אחר-שלב

1. הפעילו את סביבת המעבדה באמצעות 'docker-compose up -d' מתוך תיקיית השורש של הפרויקט. פעולה זו תעלה את כל הקונטיינרים הנדרשים, כולל מכונות קורבן, תשתית תוקף, שרתי לוגים ותחנת העבודה לניתוח פורנזי. ההתקנה הראשונית אורכת כ-5-10 דקות.
2. עברו על תיקיית /scenarios ובחרו תרחיש הכשרה. לכל תרחיש יש README.md המתאר את התקיפה המדומה, מטרות הלמידה, רמת הקושי (beginner/intermediate/advanced) וזמן ההשלמה המשוער. התחילו עם 'scenario-01-phishing-compromise' אם אתם חדשים ל-DFIR.
3. הריצו את סימולציית התקיפה באמצעות הסקריפטים שסופקו, שייצרו אוטומטית את כל הממצאים הפורנזיים. לחלופין, השתמשו בערכות הממצאים שנוצרו מראש אם ברצונכם לדלג ישירות לשלב החקירה. כל הממצאים ממוקמים בתיקיית /evidence עבור כל תרחיש.
4. בצעו את החקירה הפורנזית שלכם באמצעות כלי הניתוח הכלולים במעבדה (Volatility, Autopsy, Wireshark, YARA). תעדו את הממצאים שלכם באמצעות תבנית הדוח המצורפת. השוו את התוצאות שלכם מול ה-answer key של התרחיש ב-/solutions כדי להעריך את הניתוח ולזהות תחומים לשיפור.

טכנולוגיות בשימוש