dfir-attack-lab

Sobre o Projeto

DFIR Attack Lab é um ambiente de simulação meticulosamente projetado que recria cenários de ciberataques do mundo real para treinamento de profissionais de cibersegurança em Forense Digital e Resposta a Incidentes. DFIR é a disciplina de investigar incidentes de segurança após sua ocorrência — identificando o que aconteceu, como o atacante obteve acesso, quais dados foram comprometidos e quais passos são necessários para recuperação e prevenção de recorrência. O laboratório fornece uma coleção de cenários de ataque pré-construídos que espelham incidentes reais observados em ambientes empresariais. Cada cenário inclui uma cadeia de ataque completa — desde acesso inicial (email de phishing, vulnerabilidade explorada, credenciais comprometidas) passando por escalonamento de privilégios, movimentação lateral, exfiltração de dados e mecanismos de persistência. Para cada cenário, o lab gera artefatos forenses realistas: Windows Event Logs, entradas Syslog, capturas de pacotes de rede (PCAPs), dumps de memória, dados de timeline do sistema de arquivos e modificações de registry hives.

Por Que Isso Importa

A demanda por profissionais qualificados em DFIR excede em muito a oferta, criando uma lacuna crítica de habilidades em cibersegurança. O treinamento em forense digital requer acesso a ambientes controlados com artefatos realistas — algo difícil e caro de criar do zero. Ambientes de produção não podem ser usados para treinamento devido a preocupações de privacidade, restrições legais e risco de interferir com operações reais de negócios. Este lab democratiza a educação em DFIR fornecendo uma plataforma gratuita e open-source que qualquer pessoa pode usar para desenvolver suas habilidades de investigação forense.

Guia Passo a Passo

1. Inicie o ambiente executando 'docker-compose up -d' no diretório raiz do projeto. Isso lançará todos os containers necessários incluindo máquinas vítimas, infraestrutura do atacante, servidores de logging e a estação de trabalho forense. A configuração inicial leva aproximadamente 5-10 minutos.
2. Navegue pelo diretório /scenarios e selecione um cenário de treinamento. Cada cenário tem um README.md descrevendo o ataque simulado, objetivos de aprendizado, nível de dificuldade (iniciante/intermediário/avançado) e tempo estimado de conclusão.
3. Execute a simulação de ataque usando os scripts fornecidos, que gerarão todos os artefatos forenses automaticamente. Alternativamente, use os pacotes de artefatos pré-gerados se quiser ir direto para a fase de investigação.
4. Conduza sua investigação forense usando as ferramentas incluídas (Volatility, Autopsy, Wireshark, YARA). Documente suas descobertas usando o template de relatório incluído. Compare seus resultados com o gabarito do cenário em /solutions para avaliar sua análise e identificar áreas de melhoria.

Tecnologias Utilizadas