2021年4月16日

NECサイバーセキュリティ戦略本部セキュリティ技術センターの大家です。
本記事では、わずか数コマンドでActive Directoryを含むWindowsラボ環境を構築することができる「DetectionLab」を紹介します。

DetectionLabとは

DetectionLab[1][2]は、Chris Long氏が開発したツールです。Vagrant、Ansible、PowerShellなどを用いて、Windows搭載ホストが3台（うち1つはActive Directory）、Linux搭載ホストが1台からなるラボ環境を自動構築することができます。ラボ環境は、仮想環境上（VirtualBox、VMWare Workstation/Fusion、ESXi、Hyper-V）やクラウド（AWS、Azure）に構築できます。

下記はラボ環境のシステム構成図です。Windowsの各ホストには各種ロギングツールが設定されており、収集したログがLoggerホストに転送されるようになっています。Loggerホストでは、収集したログをSplunk[3]で閲覧・検索可能です。また、IDS（Suricata[4]）や調査ツール（Fleet[5]やVelociraptor[6]）もあらかじめ搭載されています。さらに、Windowsの各ホストには、Mimikatz[7]やAtomic Red Team[8]、PurpleSharp[9]といった攻撃ツール・攻撃シミュレーションツールが用意されています。

ラボ環境の主な利用目的としては、各種攻撃が行われた際にシステム上にどのような痕跡が残るのかを検証することで、セキュリティ対策の改善に繋げること、フォレンジック関連の知見を高めることなどが考えられます。あるいは、AD環境に対するペネトレーションテストの練習環境として用いることもできるかと思います。なお、DetectionLabの作者は本ラボの利用目的について、「This lab has been designed with defenders in mind. （拙訳: このラボは防御側の視点を念頭に設計されています。）」としています[1]。

DetectionLab環境を用いた攻撃検知の検証例については、JPCERT/CCの主催するカンファレンスであるJapan Security Analyst Conference 2021 [10]にて、作者本人が「Accelerating the Analysis of Offensive Security Techniques Using DetectionLab」と題して発表を行っています。この発表では、Mimikatzの実行やプロセスインジェクションの検証について紹介されました。本記事執筆時点（2021/04/12）では、当カンファレンスのウェブサイトにて、発表時のスライドが公開されています。

ラボ環境構築

それでは、DetectionLabを用いたラボ環境の構築手順について紹介します。前述のとおり、DetectionLabは様々なプラットフォームに対応していますが、ここではWindows10上のVirtualBoxに環境を構築します。

事前準備

事前にインストールが必要なソフトウェアは、VirtualBox（バージョン6.0以上）とVagrant（2.2.9以上）のみです。これらのソフトウェアのインストーラは各ツールの公式サイトから入手できます。その他に必要な準備はありません。

自動構築の開始

ラボ環境へのアクセス

ラボ環境の各マシンはApache Guacamole[12]にて操作できます。ブラウザから http://192.168.38.105:8080/guacamole/ にアクセスすると、GuacamoleのUIが表示され、各マシンにアクセスできます。ただし、私の環境では、Win10ホストにGuacamoleからアクセスするとマシンがスタックしてしまう現象が発生しました。本問題の解決ができなかったため、Win10ホストについてはVirtualBoxのUIから操作することにしました。

ラボ環境の利用

ラボ環境の構築が完了したら、あとは好きなように環境を使い倒すだけです。
今回はActive Directoryの調査ツールのADRecon[13]を実行し、Splunkでログを確認してみます。

まずはADRecon.ps1をダウンロードした後、実行します。

次にSplunkでログを確認します。イベントログを検索すると、Active Directoryへのログインや、グループメンバーの列挙、ディレクトリサービスへのアクセスなどのログが見つかります。また、Sysmonのネットワーク接続ログを確認すると、同時刻にADサーバーの389ポート（LDAP）や445ポート（SMB）にPowerShellから接続していることが確認できます。これらを総合的に捉えると、Active Directoryへの調査行為が行われていると判断できるかと思います。

おわりに

本記事では、わずか数コマンドでActive Directoryを含むWindowsラボ環境を自動構築できる「DetectionLab」を紹介しました。このツールを使用することでWindowsのラボ環境を手軽に用意することができます。防御技術の研究、フォレンジック関連の調査、ツール調査などにぜひ活用してみてください。

参考資料

執筆者の他の記事を読む