Лаборатория Purple Team · 2026
Active Directory Purple Team Lab
Изолированная лаборатория Active Directory для эмуляции атак, анализа телеметрии и подготовки защитных рекомендаций.
На основе открытого репозитория и исходной технической статьи. Это записанные лабораторные наблюдения, а не новый прогон атак.
Обзор
Кратко о проекте
- Задача
- Проследить атаку от первоначального доступа до компрометации домена и оценить доступную телеметрию.
- Архитектура
- Изолированный домен Windows Server 2022, рабочая станция и атакующая система Kali.
- Мой вклад
- Собрал лабораторию, воспроизвёл цепочку атак и описал выводы для защиты.
- Проверки
- Контролируемые сценарии использования учётных данных, бокового перемещения, DCSync, Golden Ticket и SCP.
- Результат
- Зафиксированы данные Windows Security, Sysmon и OpenSSH на этапах цепочки атаки.
- Ограничения
- События сами по себе не доказывают обнаружение; для разведки нужна сетевая телеметрия.
Архитектура лаборатории
- Атакующая системаKali Linux
- Рабочая станцияWS-01 · corp.local
- Контроллер доменаDC-01 · Windows Server 2022
Что показывают данные
Учётные записи и привилегии
Сетевые входы, назначение особых привилегий и создание WinRM-сеансов дают контекст для анализа злоупотребления учётными данными. События: 4624, 4672 и WinRM 91.
Активность конечных точек
События создания процессов Sysmon показывают шаблон выгрузки LSASS через rundll32/comsvcs.dll; сетевые события дают контекст активности LDAP и SSH.
Активность домена
Событие Directory Service Access 4662 относится к репликации. Для полезного обнаружения нужны субъект, права, объект и контекст штатной административной деятельности.
Этапы атаки и наблюдаемая телеметрия
Записанные данные лаборатории. Выберите этап для просмотра ID событий.
- Источники событий:
46244769 - Источники событий:
WinRM 914672 - Источники событий:
5379 - Источники событий:
Sysmon 3 - Источники событий:
OpenSSH 44624 - Источники событий:
Sysmon 1 - Источники событий:
4662 - Источники событий:
Sysmon 3
Источники событий: 4624 · 4769
Рекомендации по защите
- Отключить ненужные LLMNR/NBT-NS и требовать предварительную аутентификацию Kerberos.
- Убрать избыточные привилегии сервисных учётных записей и исключить повторное использование административных паролей.
- Разделить административные уровни; оценить управляемые сервисные учётные записи, LAPS и защиту LSASS.
Ограничения
Личная лаборатория с ограниченным числом хостов. Наблюдаемые ID событий не доказывают наличие срабатывающего правила или частоту ложных оповещений. Для разведки нужна сетевая телеметрия; исторические источники по-разному описывают ОС рабочей станции. Новая проверка выполнения для этого описания не проводилась.
Дата рассмотрения исходного кода не означает новый запуск тестов или независимый аудит безопасности.