Creazione di un ambiente di simulazione di formazione sulla sicurezza

4

La mia università è intenzionata a costruire un ambiente / piattaforma di simulazione per la formazione sulla sicurezza e sarà una buona esperienza di apprendimento per gli studenti. Ho fatto un giro su Google per scoprire come è stato realizzato, ma ho finito con le raccomandazioni per un ambiente di laboratorio VirtualBox o VMWare creato utilizzando pwnOS, Metasploitable, ecc ...

Quello che sto cercando è costruire un ambiente con un paio di sistemi vulnerabili e una configurazione di rete tale che gli studenti non possano interferire / interferire tra di loro. Ad esempio, il sistema potrebbe creare una simulazione privata per ogni studente per esercitarsi nei propri laboratori di classe, penso che alcuni lo chiamino "sandboxing".

Siamo alla ricerca di qualcosa di simile alla simulazione di training Offensive Security o Hera Labs , un altro esempio è XNET dal CERT , hanno una simulazione di allenamento molto interessante per Forensics.

Se potessi darci qualche indicazione su come il sistema è effettivamente costruito e se ci sono delle applicazioni open source che potremmo usare per costruire il sistema, altrimenti un'organizzazione che può costruirlo per noi (tieni a mente che questo è il budget universitario ) apprezzeremmo molto il tuo gentile contributo.

Siamo consapevoli che Offensive Security offre questo servizio ma ho bisogno di ottenere preventivi da diversi fornitori prima di poter procedere (alla fine preferisco costruire il sistema e potrei anche darlo come progetto per gli studenti del laboratorio di sicurezza)

Sappiamo anche che potrebbe essere necessario un paio di server e SO per crearlo, e abbiamo hardware inutilizzato.

Grazie e buon anno

    
posta Ken Adams 03.01.2013 - 06:27
fonte

5 risposte

4

Inizia con un diagramma di rete basato su come dovrebbe essere una rete aziendale. Ad esempio il DMZ sta per contenere i server web e i server di posta. Poi ci saranno dei firewall per proteggere l'utente dalla DMZ, inoltre avrai controller domian, server di database che faranno parte di una rete sicura. Spero che tu abbia un'idea su cosa sto cercando di descrivere. Puoi trovare un esempio di diagramma di rete qui su un laboratorio per un pentest. Non è necessario seguire la stessa cosa, ma usarlo per progettare il tuo.

Per quanto riguarda la creazione del laboratorio, suggerisco di utilizzare il server vSphere che consente di virtualizzare i sistemi operativi e creare una rete. Controlla questo blog sull'impostazione su un ambiente virtuale.

Scopri le seguenti risorse per aiutarti a configurare un laboratorio

link

link

link

    
risposta data 03.01.2013 - 12:47
fonte
3

Questa presentazione a OWASP AppSec USA 2012 parla di un programma universitario collaborativo che insegna sicurezza pratica. Si basa su OWASP Hackademic Challenges Project . Inizia a parlare del laboratorio di pentesting alle 06:30.

Libri su come creare il tuo laboratorio:

risposta data 03.01.2013 - 16:58
fonte
3

È necessario guardare nella direzione di vSphere ed ESXi, Hyper-V o AWS. Stai creando un ambiente cloud in grado di generare nuove reti e host preconfigurati. I costi di licenza possono essere elevati ma realizzeranno ciò che desideri.

In alternativa, puoi rendere VirtualBox e VM predefinite disponibili per gli studenti insieme alle impostazioni della rete virtuale. In questo modo potrebbero lavorare nei laboratori di casa.

EDIT:

La mia fonte su VMWare suggerisce che vCloud è l'approccio preferito, perché consente la segregazione necessaria per isolare gli ambienti degli studenti (vlan isolati, ecc.). Oltre a questo, un VPS (come EC2) può fornire ciò di cui hai bisogno a basso costo.

Ciascuna soluzione può essere sottoposta a script per la gestione automatizzata.

EDIT2:

Trovato questa opzione di virtualizzazione open source che consente una complessa rete VLAN: ProxMox

    
risposta data 03.01.2013 - 19:52
fonte
2

Raccomando anche hackthissite.org . Hanno una vasta selezione di dimostratori gratuiti che variano in complessità.

    
risposta data 03.01.2013 - 15:35
fonte
2

SANS fornisce anche un servizio a pagamento simile a quello di cui parli chiamato Netwars - il sito è qui link

    
risposta data 03.01.2013 - 16:56
fonte