dfir-attack-lab

关于项目

DFIR Attack Lab 是一个经过精心设计的模拟环境，用于重现真实世界的网络攻击场景，帮助 cybersecurity 专业人员接受 Digital Forensics and Incident Response 培训。DFIR 是在安全事件发生后进行调查的学科——识别发生了什么、攻击者如何获得访问权限、哪些数据遭到破坏，以及为恢复和防止再次发生需要采取哪些步骤。 该实验室提供一系列预构建的攻击场景，模拟企业环境中观察到的真实事件。每个场景都包含完整的攻击链——从初始访问（钓鱼邮件、被利用的漏洞、受损凭证）开始，经过权限提升、横向移动、数据外传和持久化机制。针对每个场景，实验室都会生成逼真的取证工件：Windows 事件日志、Syslog 条目、网络数据包捕获（PCAP 文件）、内存转储、文件系统时间线数据以及注册表 hive 修改。 调查人员可以练习完整的 DFIR 生命周期：证据保全和保管链、使用 Volatility 和 Autopsy 等工具进行磁盘与内存取证、时间线分析以重建事件顺序、IOC 提取、恶意软件分流与沙箱分析，以及完整的报告撰写。 该实验室完全运行在 Docker 容器中，确保在不同机器和操作系统之间的一致性。每个场景都包含详细的“答案钥匙”，逐步讲解预期的调查流程，因此非常适合自学和讲师主导的培训项目。

为什么这很重要

对熟练 DFIR 专业人员的需求远远超过供给，导致 cybersecurity 中出现了严重的技能缺口。数字取证培训需要接触带有逼真工件的受控环境——这类环境很难且成本高昂地从零构建。由于隐私顾虑、法律限制以及干扰实际业务运营的风险，生产环境不能用于培训。 传统 DFIR 培训课程费用高达数千美元，而且往往仅在特定时间和地点提供。该实验室通过提供一个任何人都可使用的免费开源平台来提升 DFIR 教育的普及度，帮助学习者培养取证调查技能。它对于希望晋升到事件响应岗位的 SOC 分析师、需要实践实验室练习的大学 cybersecurity 项目，以及正在构建内部 DFIR 能力的组织尤其有价值。 每个场景都映射到 MITRE ATT&CK 框架，确保从业者学习使用行业标准分类法来识别和记录攻击技术，这对于威胁情报共享和提升组织防御能力至关重要。

分步指南

1. 从项目根目录运行 'docker-compose up -d' 启动实验室环境。这将启动所有必需容器，包括受害者机器、攻击者基础设施、日志服务器和取证分析工作站。初始设置大约需要 5-10 分钟。
2. 浏览 /scenarios 目录并选择一个培训场景。每个场景都有一个 README.md，描述模拟攻击、学习目标、难度级别（初级/中级/高级）以及预计完成时间。如果您是 DFIR 新手，先从 'scenario-01-phishing-compromise' 开始。
3. 使用提供的脚本执行攻击模拟，这些脚本会自动生成所有取证工件。或者，如果您想直接跳到调查阶段，可以使用预生成的工件包。所有工件都会放在每个场景的 /evidence 目录中。
4. 使用实验室中包含的分析工具（Volatility、Autopsy、Wireshark、YARA）进行取证调查。使用附带的报告模板记录发现。将结果与 /solutions 中该场景的答案钥匙进行对照，以评估您的分析并识别可改进之处。

使用的技术