dfir-attack-lab

プロジェクトについて

DFIR Attack Lab は、Digital Forensics and Incident Response の訓練のために、実世界のサイバー攻撃シナリオを再現する、緻密に設計されたシミュレーション環境です。DFIR とは、セキュリティインシデントが発生した後に、それが何だったのか、攻撃者がどのように侵入したのか、どのデータが侵害されたのか、そして回復と再発防止のためにどのような手順が必要かを特定する分野です。 このラボは、エンタープライズ環境で観測される実際のインシデントを模した、事前構築済みの攻撃シナリオ集を提供します。各シナリオには、初期侵入 (phishing email、悪用された脆弱性、侵害された credentials) から、権限昇格、lateral movement、データ流出、永続化機構までを含む完全な攻撃チェーンが含まれます。各シナリオごとに、Windows Event Logs、Syslog エントリ、ネットワークパケットキャプチャ (PCAP files)、メモリダンプ、ファイルシステムのタイムラインデータ、registry hive の変更など、現実的なフォレンジック証跡が生成されます。 調査担当者は、証拠保全と chain of custody、Volatility や Autopsy のようなツールを用いたディスクおよびメモリフォレンジック、イベントの順序を再構成するタイムライン分析、indicator of compromise (IOC) の抽出、マルウェアトリアージとサンドボックス解析、包括的なレポート作成まで、DFIR のライフサイクル全体を実践できます。 このラボは Docker コンテナ上で完全に動作し、異なるマシンや OS 間でも一貫した環境を保証します。各シナリオには、期待される調査プロセスを順を追って解説する詳細な 'answer key' が含まれており、自習にも講師主導のトレーニングにも最適です。

なぜ重要か

熟練した DFIR 専門家の需要は供給を大幅に上回っており、cybersecurity における深刻なスキルギャップを生み出しています。デジタルフォレンジックの訓練には、現実的な証跡を備えた管理された環境へのアクセスが必要ですが、これをゼロから構築するのは困難で高コストです。プライバシー上の懸念、法的制約、実際の業務運用への干渉リスクのため、本番環境を訓練に使うことはできません。 従来の DFIR トレーニングコースは数千ドルかかり、特定の時期と場所でしか受講できないことが多いです。このラボは、誰でもフォレンジック調査スキルを身につけられる無料のオープンソースプラットフォームを提供することで、DFIR 教育を民主化します。特に、incident response 職へステップアップしたい SOC アナリスト、実践的なラボ演習を必要とする大学の cybersecurity プログラム、内部 DFIR 能力を構築している組織にとって価値があります。 各シナリオは MITRE ATT&CK フレームワークにマッピングされており、実務者が業界標準の分類体系を用いて攻撃手法を識別・文書化する方法を学べます。これは threat intelligence の共有と組織防御の改善に不可欠です。

ステップバイステップガイド

1. プロジェクトのルートディレクトリから 'docker-compose up -d' を実行してラボ環境を起動します。これにより、被害者マシン、攻撃者インフラ、ログサーバー、フォレンジック分析ワークステーションを含む必要なすべてのコンテナが立ち上がります。初期セットアップには約 5〜10 分かかります。
2. /scenarios ディレクトリを参照して、トレーニングシナリオを選択します。各シナリオには、シミュレートされた攻撃、学習目標、難易度 (beginner/intermediate/advanced)、推定所要時間を説明する README.md が含まれています。DFIR が初めてなら 'scenario-01-phishing-compromise' から始めてください。
3. 付属スクリプトを使用して攻撃シミュレーションを実行すると、すべてのフォレンジック証跡が自動生成されます。あるいは、調査フェーズに直接進みたい場合は、事前生成済みの証跡パックを使用することもできます。すべての証跡は各シナリオの /evidence ディレクトリに配置されます。
4. ラボに含まれる分析ツール (Volatility、Autopsy、Wireshark、YARA) を使用してフォレンジック調査を行います。付属のレポートテンプレートを使って結果を文書化してください。/solutions 内のシナリオ answer key と結果を比較し、分析を評価して改善点を特定します。

使用技術