jmratwork/lm8-1a-3
GitHub: jmratwork/lm8-1a-3
基于 CyberRangeCZ/KYPO 平台的事件响应与取证实战培训场景，通过五个角色化练习完整覆盖安全运营中心的核心能力培养。
Stars: 0 | Forks: 0
# NG-SOC LM8 子案例 1a-3 – 事件响应与取证
**学习模块 8：事件响应与取证**
CyberRangeCZ / KYPO 平台 | NG-SOC WP5 培训场景
## 安全通知
## 网络拓扑
```
WAN / Management (100.100.100.0/24 – platform automatic, all nodes)
│ │
▼ ▼
┌─────────────────┐ ┌──────────────────────┐
│ router-perimeter│◄─────► router-internal │
│ gw: 10.10.20.1 │ WAN │ gw: .30.1/.40.1 │
│ debian-12 │ │ debian-12 │
│ standard.small │ │ standard.small │
└────────┬────────┘ └──────────┬───────────┘
│ │
┌────────▼────────┐ ┌──────────▼───────────┐
│ net-dmz │ │ net-corp │
│ 10.10.20.0/24 │ │ 10.10.30.0/24 │
│ (user-access) │ │ (no user-access) │
│ │ │ │
│ web-banking │ │ employee-ws │
│ 10.10.20.10 │ │ 10.10.30.10 │
│ ubuntu-noble │ │ ubuntu-noble │
│ std.medium │ │ std.small │
│ │ │ │
│ c2-server │ │ file-server │
│ 10.10.20.20 │ │ 10.10.30.20 │
│ debian-12 │ │ ubuntu-noble │
│ std.small │ │ std.small │
│ hidden: true │ │ │
└─────────────────┘ │ db-server │
│ 10.10.30.30 │
┌─────────────────┐ │ ubuntu-noble │
│ net-security │ │ std.medium │
│ 10.10.40.0/24 │ └───────────────────────┘
│ (user-access) │
│ │ ┌───────────────────────┐
│ siem │ │ net-redteam │
│ 10.10.40.10 │ │ 10.10.50.0/24 │
│ ubuntu-noble │ │ (user-access) │
│ std.large │ │ │
│ Wazuh+OpenSearch │ kali │
│ │ │ 10.10.50.10 │
│ analyst-host │ │ kali │
│ 10.10.40.20 │ │ std.large │
│ ubuntu-noble │ └───────────────────────┘
│ std.medium │
│ Velociraptor │
│ │
│ cti │
│ 10.10.40.30 │
│ ubuntu-noble │
│ std.large │
│ MISP (Docker) │
└─────────────────┘
```
**每个实例的资源占用：** 约 14 个 vCPU，约 70 GB RAM
## 仓库结构
```
lm8-1a-3/
├── topology.yml # CyberRangeCZ topology (MUST stay in root)
├── README.md # This file
├── VALIDATION.md # Resource & tool validation table
│
├── provisioning/
│ ├── playbook.yml # 7-play Ansible playbook
│ ├── requirements.yml # Galaxy dependencies (empty)
│ ├── group_vars/
│ │ ├── all.yml # Global variables
│ │ ├── grp-security.yml # Wazuh/MISP config
│ │ └── grp-corp.yml # Corp host config
│ └── roles/
│ ├── common/ # Baseline: timezone, locale, hosts, user, MOTD
│ ├── router-config/ # ip_forward, iptables, static routes
│ ├── web-banking-vuln/ # DELIBERATELY VULNERABLE Apache+PHP+MySQL
│ ├── c2-server/ # Synthetic C2 simulator (Python TCP listener)
│ ├── employee-ws/ # Wazuh agent, beacon cron, pre-seeded logs
│ ├── file-server/ # Samba, .locked files, ransom note, enc log
│ ├── siem/ # Wazuh manager, custom rules, pre-seeded alerts
│ ├── forensics-host/ # DFIR tools, Velociraptor, CoC template
│ ├── kali-redteam/ # Pen-test tools, SecLists, engagement brief
│ ├── cti-misp/ # MISP Docker, seed script (Black Falcon event)
│ └── artifacts/ # Student handout templates, artefact deployment
│
├── trainings/
│ ├── exercise-1-soc-triage.json # SOC Analyst – SIEM triage
│ ├── exercise-2-containment.json # Incident Responder – containment/eradication
│ ├── exercise-3-cti-briefing.json # CTI Analyst – MISP threat intel
│ ├── exercise-4-pentest.json # Pen Tester – SQLi + brute force
│ └── exercise-5-tabletop.json # IR Coordinator – ransomware tabletop
│
├── artifacts/
│ ├── phishing/
│ │ ├── phishing-email.eml # Synthetic spear-phishing email
│ │ ├── phishing-sms.txt # Synthetic smishing message
│ │ ├── phishing-call-script.txt # Synthetic vishing transcript
│ │ └── suspicious-attachment.txt # Static attachment metadata (no code)
│ ├── forensic-bundle/
│ │ ├── wazuh-alerts-ex2.json # 8 synthetic SIEM alerts
│ │ ├── endpoint-process-list.txt # Synthetic ps/netstat output
│ │ ├── netstat-employee-ws.txt # Synthetic network connections
│ │ ├── web-banking-access.log # Synthetic Apache log with SQLi evidence
│ │ ├── file-metadata.txt # Synthetic file listing + encryption events
│ │ └── timeline-clues.txt # Ordered clues for timeline reconstruction
│ └── ex5-ransomware/
│ └── tabletop-scenario.txt # Inject sequence + ransom note text
│
└── docs/
├── instructor-guide.md # Full instructor reference (32KB+)
└── student-handouts/
├── exercise-1-handout.md # SOC Analyst tasks
├── exercise-2-handout.md # Incident Responder tasks
├── exercise-3-handout.md # CTI Analyst tasks
├── exercise-4-handout.md # Pen Tester tasks
├── ex5-tabletop-scenario.md # IR Coordinator tabletop guide
├── ex5-after-action-report.md # AAR template (Ex 5 / Activity 2.0.2)
└── express-forensic-report-template.md # Activity 2.0.3 report template
```
## WP5:M8 覆盖矩阵
| 主题 | 练习 1 | 练习 2 | 练习 3 | 练习 4 | 练习 5 | 2.0.1 | 2.0.2 | 2.0.3 |
|---|:---:|:---:|:---:|:---:|:---:|:---:|:---:|:---:|
| 事件响应生命周期 | ✅ | ✅ | | | ✅ | | ✅ | ✅ |
| 数字取证基础 | | ✅ | | | | | | ✅ |
| 多渠道钓鱼 / 社会工程学 | ✅ | | | | | ✅ | | |
| SIEM 驱动的威胁检测 | ✅ | ✅ | ✅ | | | | | ✅ |
| CTI 与威胁行为者画像 | | | ✅ | ✅ | ✅ | | | |
| 监管合规义务 (NIS2, GDPR) | | ✅ | | | ✅ | | ✅ | |
| 基于威胁的渗透测试 | | | ✅ | ✅ | | | | |
**所有 7 个主题均已覆盖。** ✅
## ECSF 角色映射
| 练习 | 角色 | ECSF 配置文件 |
|---|---|---|
| 练习 1 | SOC Analyst Tier 1 | Cyber Incident Responder |
| 练习 2 | CSIRT Analyst / Incident Responder | Cyber Incident Responder |
| 练习 3 | CTI Analyst | Cyber Threat Intelligence Specialist |
| 练习 4 | Penetration Tester | Penetration Tester |
| 练习 5 | IR Coordinator | Cyber Incident Responder / CISO |
## 涵盖的 MITRE ATT&CK 技术
| 技术 | 名称 | 练习 |
|---|---|---|
| T1566.001 | 鱼叉式网络钓鱼附件 | 练习 3, 练习 5, 活动 2.0.1 |
| T1190 | 利用面向公众的应用 (SQLi) | 练习 2, 练习 3, 练习 4 |
| T1078 | 有效账户 | 练习 2, 练习 3, 练习 4 |
| T1071.001 | 通过应用层协议进行 C2 | 练习 1, 练习 3 |
| T1053.005 | 计划任务/作业：Cron | 练习 1, 练习 2, 练习 5 |
| T1486 | 数据加密以造成影响 | 练习 2, 练习 3, 练习 5 |
| T1005 | 来自本地系统的数据 | 练习 2, 练习 3, 练习 4 |
| T1041 | 通过 C2 通道外泄 | 练习 2, 练习 5 |
| T1021.002 | 横向移动：SMB | 练习 5 |
| T1083 | 文件和目录发现 | 练习 4 |
## 部署
### 前置条件
- CyberRangeCZ / KYPO 平台访问权限
- 具有充足配额的 OpenStack 租户（每个实例约 14 个 vCPU，约 70 GB RAM）
- 沙箱主机的互联网连接（用于在置备时下载软件包）
### 部署
1. 将此仓库上传到 KYPO 平台
2. 创建一个新的沙箱定义并指向 `topology.yml`（位于此仓库的根目录）
3. 置备大约需要 30–45 分钟
4. 置备完成后进行验证：
- Wazuh Dashboard：http://10.10.40.10:5601 (admin / admin，首次登录时需更改)
- MISP：https://10.10.40.30 (admin@admin.test / admin，首次登录时需更改 → NGSOCAdmin2025!)
- 网上银行：http://10.10.20.10 (admin / admin123 – 刻意设置弱口令)
- Kali：以 `analyst` 用户 SSH 登录至 10.10.50.10
### 讲师核对清单
请参阅 [docs/instructor-guide.md](docs/instructor-guide.md) → 第 3 节，获取完整的 REP 会话准备核对清单。
## 评分
| 组件 | 权重 | 及格线 |
|---|---|---|
| 练习 1–5（知识检查） | 60% | 任何练习不得低于 40% |
| 活动 2.0.1（多渠道钓鱼分类） | 15% | — |
| 活动 2.0.2（协同响应链） | 15% | — |
| 活动 2.0.3（快速取证报告） | 10% | — |
| **总体通过** | — | **总分 ≥ 60%** |
*NG-SOC WP5 | 学习模块 8 – 事件响应与取证 | 子案例 1a*
*CyberRangeCZ KYPO 沙箱定义 | 英式英语 | 2026*
标签：OPA, 域环境安全, 安全培训, 库, 应急响应, 数字取证, 系统提示词, 网络安全, 自动化脚本, 请求拦截, 逆向工具, 隐私保护, 靶场