dfir-attack-lab

Informazioni sul progetto

DFIR Attack Lab è un ambiente di simulazione progettato con cura che ricrea scenari di attacchi informatici reali per formare i professionisti della cybersicurezza nell’informatica forense e nella risposta agli incidenti. La DFIR è la disciplina che indaga gli incidenti di sicurezza dopo che si sono verificati: determina cosa è successo, come l’aggressore ha ottenuto l’accesso, quali dati sono stati compromessi e quali interventi servono per ripristinare i sistemi ed evitare che l’incidente si ripeta. Il laboratorio offre una raccolta di scenari di attacco già predisposti che rispecchiano incidenti realmente osservati in ambienti aziendali. Ogni scenario comprende un’intera catena di attacco: dall’accesso iniziale (email di phishing, vulnerabilità sfruttata, credenziali compromesse) all’escalation dei privilegi, al movimento laterale, all’esfiltrazione dei dati e ai meccanismi di persistenza. Per ciascuno scenario, il laboratorio genera reperti forensi realistici: Windows Event Logs, voci Syslog, acquisizioni di pacchetti di rete (PCAP), dump della memoria, dati cronologici del file system e modifiche agli hive del registro.

Perché è importante

La domanda di professionisti qualificati nella DFIR supera di gran lunga l’offerta, creando una grave carenza di competenze nella cybersicurezza. La formazione in informatica forense richiede ambienti controllati con reperti realistici, difficili e costosi da creare da zero. Gli ambienti di produzione non possono essere usati per la formazione a causa della privacy, dei vincoli legali e del rischio di interferire con le attività aziendali reali. Questo laboratorio rende più accessibile la formazione nella DFIR offrendo una piattaforma gratuita e open source che chiunque può usare per sviluppare le proprie capacità di indagine forense.

Guida passo passo

1. Avvia l’ambiente eseguendo 'docker-compose up -d' nella directory radice del progetto. Verranno avviati tutti i container necessari, comprese le macchine vittima, l’infrastruttura dell’aggressore, i server di logging e la postazione forense. La configurazione iniziale richiede circa 5-10 minuti.
2. Esplora la directory /scenarios e seleziona uno scenario formativo. Ogni scenario contiene un README.md con la descrizione dell’attacco simulato, gli obiettivi di apprendimento, il livello di difficoltà (principiante/intermedio/avanzato) e il tempo stimato per completarlo.
3. Esegui la simulazione dell’attacco con gli script forniti, che generano automaticamente tutti i reperti forensi. In alternativa, usa i pacchetti di reperti già generati se vuoi passare direttamente alla fase di indagine.
4. Conduci l’indagine forense con gli strumenti inclusi (Volatility, Autopsy, Wireshark, YARA). Documenta le scoperte usando il modello di rapporto incluso. Confronta i risultati con la soluzione dello scenario in /solutions per valutare la tua analisi e individuare le aree da migliorare.

Tecnologie utilizzate