GOAD — Game of Active Directory

Уязвимая AD-лаборатория для отработки всех цепочек атак из курса — в изолированной среде.

Теория

(Game of ) — это лаборатория, намеренно построенная уязвимой: большая среда AD, имитирующая реальную организацию — около 5 доменов, десятки серверов и пользователей, trust-отношения и реальные ошибки конфигурации. Цель: отрабатывать все атаки из курса в безопасной и контролируемой среде.

Почему именно GOAD

Топология похожа на корпоративную сеть — учишь не только атаку, но и путь эскалации привилегий между доменами.
Создан Orange Cyberdefense — одной из ведущих команд по security.
Поставляется с автоматическими проверками атак — можно убедиться, что вы всё сделали правильно.
Есть GOAD-Light — урезанная версия для базовой практики с ограниченными ресурсами.

Основной лес sevenkingdoms.local с дочерними доменами north и south, отдельный лес essos.local с trust. Каждый домен содержит разные уязвимости: Kerberoasting, Unconstrained Delegation, ACL abuse и др. Путь практики: enumeration, эскалация, DCSync, междоменное проникновение.

Коротко и понятно

GOAD — специально уязвимая среда AD с примерно 5 доменами и trust-отношениями.
Каждый домен содержит разные уязвимости для разнообразной практики.
Запускать только в изолированной сети — машины уязвимы.
Включите Sysmon, чтобы учиться, какие события генерирует каждая атака.

Пример из практикиПосле Kerberoasting в GOAD проверьте логи: какой Event ID создался. Это превращает вас из того, кто умеет атаковать, в того, кто умеет ловить.

Установка

Минимальные требования: 16 ГБ RAM (рекомендуется 32), процессор с виртуализацией и VMware Workstation / VirtualBox / Proxmox.

git clone https://github.com/Orange-Cyberdefense/GOAD.git
cd GOAD
# VMware
./goad.sh -t install -p vmware -l GOAD -a
# VirtualBox
./goad.sh -t install -p virtualbox -l GOAD -a

bash

Установка скачивает готовые виртуалки и запускает Ansible playbooks, настраивающие домены, пользователей и уязвимости.

Карта практики (по модулям курса)

Основы + Enumeration → разведка: сбор по всем доменам.
→ , AS-REP Roasting, .
→ найдите учётки с Constrained/ и используйте их.
→ найдите серверы CA и активируйте .
Защита → установите мониторинг и отловите Event IDs атак в реальном времени.

Обнаружение — включите Sysmon

Самый важный шаг: включите Sysmon + Windows Event Forwarding в лаборатории, и при каждой атаке — проверяйте, какие события создались. Это инструмент, который превращает вас из тех, кто умеет атаковать, в тех, кто умеет ловить атакующего.

Митигация

После каждой атаки: исправьте проблему в (уберите право, смените пароль, отключите delegation) и проверьте, что атака действительно заблокирована.
Отрабатывайте и реагирование: какие логи показывают, когда именно произошла атака?