Incident Playbook Builder — симулятор IR

Интерактивная мини-игра «Incident Playbook Builder — симулятор IR»: практика по теме информационной безопасности. Все вычисления выполняются в браузере.

Интерактивная мини-игра «Incident Playbook Builder — симулятор IR»: практика по теме информационной безопасности.

СЦЕНАРИЙ — ОКНО — ПРОСТОЙ 0/95 AD fh 0 · pr 0 SOC 0/2 SIEM NGFW OFF

Модель для IR и Blue Team

Техники названы по MITRE ATT&CK — тот же словарь, что у Red Team, CTI и плейбуков: можно разбирать разрыв между картой угроз и вашими контролями. Скорость шагов зависит от patchLevel, UAC, SMB signing, SSH, режима NGFW (множитель lateral), KRBTGT. Операции занимают слоты SOC (макс. 2), часть идёт через CAB. Простой — цена изменений и изоляции.

Практика в проде и в лабе (команды и порядок действий)

Blue: рабочие станции, учётки, UAC (как в модели WS)

Инвентаризация локальных учёток (привилегированные сессии, админ-доступ):
```
Get-LocalUser | Where-Object { $_.Enabled } | Format-Table Name, PrincipalSource, SID
```

Членство в группах (локально и в домене, если WS в AD):

whoami /groups
Get-ADPrincipalGroupMembership -Identity "$env:USERNAME" -ErrorAction SilentlyContinue

UAC и политики: в GPO смотрите «Контроль учётных записей»; на хосте быстрая проверка ключа реестра (значения зависят от политики организации):
```
Get-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' `
  -Name EnableLUA, ConsentPromptBehaviorAdmin, PromptOnSecureDesktop -ErrorAction SilentlyContinue
```
После компрометации учётки (процесс, не «рецепт атаки»): принудительный сброс пароля / отзыв refresh-токенов в IdP, сброс Kerberos-билетов (klist purge на клиенте), проверка новых входов в DC (события 4624/4625), заведение инцидента в SIEM с корреляцией по user/host.

Blue: файловый сервер, SMB signing, SSH, KRBTGT (узлы FS / AD в игре)

SMB на сервере Windows — требование подписи для клиентов и сервера (после изменений — тест с клиента в maintenance-окно):

Get-SmbServerConfiguration | Select-Object EnableSecuritySignature, RequireSecuritySignature
# Включение (пример; согласовать с политикой и совместимостью клиентов):
# Set-SmbServerConfiguration -RequireSecuritySignature $true -EnableSecuritySignature $true -Force

Linux / SSH — запрет прямого входа root по паролю и по ключу (целевое состояние; правьте под свой sshd):
```
# /etc/ssh/sshd_config (фрагмент)
PermitRootLogin no
PasswordAuthentication no
```
Проверка конфигурации и перезапуск:
```
sudo sshd -t && sudo systemctl reload sshd
```
KRBTGT (двойной сброс) — только по процедуре организации: смена пароля дважды с интервалом репликации между DC; в окне работ мониторить 4769/4771, аномалии по Ticket Encryption Type, оповестить админов о перелогине. Цель — сократить окно применимости старых билетов, а не «инструкция по злоупотреблению».

Blue: периметр NGFW и видимость (SIEM)

Перед переводом сегмента в strict: снимите baseline текущих разрешённых потоков (правила, NAT, app-id), включите логирование deny и east-west на пилотной группе VLAN.

Smoke-тест после изменений — только своей инфраструктуры и согласованных IP:

# С доверенного админ-хоста в лабе (пример)
Test-NetConnection -ComputerName <цель> -Port 445
# Или curl/openssl к разрешённым сервисам — по списку из change ticket

В SIEM заведите панель: отказы NGFW + корреляция с AD logon + контейнеры приложений в DMZ.

Purple / Red в лабе: валидация техник (без несанкционированных целей)

Только изолированный стенд, письменное разрешение (ROE), учётные данные тестовых пользователей. Цель — научиться защите и детектированию, а не атаке чужих систем.

Ниже — порядок: сценарий в Atomic Red Team (или аналог) → артефакт → запрос в SIEM/EDR. ID техник — MITRE.

T1566.002 (фишинг / вложения): атомики в каталоге T1566 → проверка блокировки на почтовом шлюзе и EDR → в SIEM: вложения, macro, parent Outlook → child процесс.
T1078 (валидные учётки): симуляция входа тестовой УЗ с нового хоста → алерты на 4624 type 3/10, нетипичный Source Network Address, risky sign-in (если есть IdP).
T1021.001 (RDP): контролируемый запуск на лабораторной паре хостов → события TerminalServices, сетевой трафик 3389, запрет NLA-обхода политиками.
T1003 (доступ к учётным данным): только утверждённые тесты (например lsass / sam — в рамках ART и лицензий ОС) → детект по Sysmon 10, защита Credential Guard / PPL.
T1482 (доверие доменов): ldap/domain enumeration в лабе → логи LDAP, аномальные запросы с неадминских хостов.
T1190 (эксплуатация публичного приложения): только на намеренно уязвимом учебном приложении в DMZ → WAF/NGFW/логи приложения и RASP.
T1133 (внешний удалённый доступ): проверка опубликованных сервисов (инвентаризация, 2FA, allow-list IP) → корреляция с VPN и IdP.

Шаблон запроса в SIEM (подставьте индекс/таблицу): срез за окно теста по user, host, technique_tag из runbook purple team.

Клавиши: пробел — пауза · L — эта панель

MITRE ATT&CK — attack.mitre.org (CC BY 4.0).

Топология

Лента (MITRE + действия)

Incident Playbook Builder

Реальное время: модель атакующего следует цепочке в духе MITRE ATT&CK (как в разборе упражнений для blue/red). Вы — защита: контрмеры на узлах и периметре, кулдауны, CAB, лимит параллельных задач SOC. Исход задают компрометация AD, простой бизнеса и время окна — как в настольных и лабораторных прогонах.

Выберите сценарий цепочки ATT&CK:

Incident Playbook Builder

—

Материалы по теме