Un homelab est un environnement informatique chez soi qui permet de développer ses compétences et rester à jour techniquement. En effet, nous n’avons pas besoin d’attendre des cas concrets en entreprise qui n’arriveront peut être jamais. Quand nous pouvons le faire soi-même, autant foncer non ? Particulièrement en alternance où on ne peut pas tout voir ou comprendre directement. En appliquant ce principe à la cybersécurité nous pouvons aller très loin dans nos Proof Of Concepts. Prenez place je vais maintenant vous présenter mon Cyber Homelab.
Physiquement, à quoi ressemble mon homelab ?
Voici, les éléments techniques constituant celui-ci :
- Un rack pour serveurs
- Deux serveurs HP DL GEN8
- Un switch L3
- Un firewall
J’ai opté pour des équipements traditionnels qui peuvent être utilisés en production avec des contrôleurs disques qui permettent du RAID 5 physique pour éviter toute perte de données. Je n’ai malheureusement pas de SAN (c bocou tro cher). Vous pouvez avoir ces équipements sur Ebay et Bargainhardware à des prix agressifs ce qui est très bien pour ceux qui veulent créer le leur.
Sachez que je suis un grand adepte de la philosophie « Do It Yourself ! » (DIY). On ne peut pas tout découvrir et comprendre seul. Cependant, mettre ses mains dans le cambouis est généralement bénéfique. Surtout pour moi qui suis en apprentissage.
Et la couche logique dans tout ça ?
J’utilise la virtualisation eh oui ! C’est très pratique car je suis capable d’utiliser les ressources de mes serveurs à leur maximum de manière flexible. Mon environnement utilise VMware vSphere 7. C’est une solution qui est vraiment efficace avec ses fonctionnalités de clustering et plus particulièrement vMotion.
Je suis capable d’équilibrer la charge entre les deux serveurs et d’assurer le bon fonctionnement de mes services.
Au niveau réseau, j’ai crée des VLAN de niveau 3 depuis le firewall qui sont redistribués au switch avec le protocole 802.1Q (port trunking pour ceux qui connaissent Cisco). Entre mon switch et mon firewall il y’a aussi une liaison EtherChannel (LACP) qui me permet d’augmenter la bande passante du traffic. Cette configuration réseau m’apporte la plus grande des souplesse possible. Les hyperviseurs ESXi grâce à la carte réseau physique sont capables d’interpréter les trames 802.1Q taggées ou non pour notre plus grand bonheur.
Techniquement, d’un point de vue système j’ai beaucoup appris car je me tiens à jour sur les techniques de virtualisation que ce soit sur Proxmox, VMware ou Hyper-V. Je sais maintenant comment patcher et mettre à jour un ESXi et un vCenter en ligne de commande (oui c’est mieux comme ça on sait ce qu’on fait et ça crash pas). J’ai aussi dégagé des problématiques physiques. En effet, lorsque ILO bug ça peut plus ou moins impacter l’hyperviseur.
Pourquoi Cyber Homelab alors ?
Pour transformer mon simple homelab en un environnement dédié à la cybersécurité j’ai crée deux réseaux. Tout d’abord, celui dédié aux CTF ainsi que tout ce qui avait un rapport avec les tests d’intrusion et tests de nouveaux outils.
En effet, j’ai mis en place un environnement Microsoft avec des services tels que SMB pour les partages réseaux, RDP pour l’accès à distance des machines et Active Directory pour la centralisation. Avec juste cet environnement composé de 5 machines (20Go de RAM), j’ai utilisé des outils comme NMAP pour le scan de ports, BloodHound pour trouver des chemins d’attaques rapidement, Impacket pour attaquer des comptes de services (attaque Kerberoast), CrackMapExec pour du Pass The Hash ou encore Mimikatz pour dump le hash de KRBTGT et se faire passer pour un contrôleur de domaine afin d’obtenir un Golden Ticket.
Il y a des possibilités infinies dans ce genre d’environnement, c’est la raison pour laquelle j’aime les tests d’intrusion dans les environnements Microsoft ! J’ai énormément de possibilités pour me retrouver Domain Admin.
Ensuite, j’ai crée un réseau dédié aux malwares où j’essaye de les analyser. Je fais un clin d’oeil aux solutions comme Cuckoo Sandbox ou IRMA de Quarkslab. Ce réseau me permet également de tester des EDR et observer leurs comportements dans des situations critiques. Par exemple, lorsqu’un processus commence à effectuer beaucoup d’appels vers la CryptoAPI de Windows ou encore lorsqu’on exécute Maze directement sur la machine.
De plus, ma configuration me permet de tester des SIEM comme Elastic Cloud on Kubernetes (ECK) à des fins de développement mais aussi de production. Au final, ce serait un produit intéressant en cas d’attaque sur mon réseau interne. La Threat Intelligence est aussi de la partie avec une instance MISP et OpenCTI permettant de se renseigner très vite sur des groupes cybercriminels ou encore sur les attaques récentes.
Pour conclure, mon infrastructure est dédiée à la sécurité informatique si je pouvais je l’aurais transformé en mini CyberRange. Je suis capable de tester plein d’outils sans me soucier de quoi que ce soit sauf les Remote Code Execution de VMware vCenter (humour noir), CVE 2021-21972 que j’ai patché. Ainsi, je me tiens régulièrement informer par la communauté infosec sur Twitter. Cette veille est appliqué si possible à mon environnement. Vous aussi faites votre cyber homelab :)
Laisser un commentaire