检测实验室ELK：你的安全防御利器

检测实验室ELK：你的安全防御利器

DetectionLabELKcyberdefenders/DetectionLabELK: DetectionLab ELK 是一套针对Windows环境的安全检测实验室部署工具，集成Elasticsearch、Logstash和Kibana（ELK Stack）组件，用于收集、解析和可视化虚拟化环境中发生的安全事件。项目地址:https://gitcode.com/gh_mirrors/de/DetectionLabELK

1、项目介绍

欢迎来到DetectionLabELK的世界——一个由Chris Long的DetectionLab衍生而来的开源项目，但采用了ELK堆栈替换原有的Splunk。这个项目旨在为蓝队成员提供一个快速构建的安全工具实验室，预装了各种安全工具和最佳日志配置实践。无论是为了验证生产环境的日志功能，还是想要开发MITRE ATT&CK框架下的检测策略，DetectionLabELK都是你的理想之选。

2、项目技术分析

• ELK堆栈：基于Elasticsearch（数据存储）、Logstash（数据收集与处理）和Kibana（可视化界面）的集成解决方案，替代了原本的Splunk，以更低成本实现高效率的数据管理和分析。
• 自动化部署：使用Vagrant和Packer进行自动化构建，简化了设置过程，无论你是初次接触还是经验丰富的用户，都能轻松上手。
• 多主机环境：包含了Windows域控制器、Windows事件转发服务器、Windows 10工作站以及Ubuntu日志服务器，模拟了真实的网络环境。

3、项目及技术应用场景

• MITRE ATT&CK框架验证：在实验室环境中运行原子测试，检查产生的日志，并与生产环境对比，确保安全策略的有效性。
• 日志审计与监控：通过预先配置的Windows事件记录和Sysmon等工具，可以实时监控系统活动，及时发现潜在威胁。
• 安全工具集成：包括但不限于osquery、Fleet、Microsft ATA等，便于测试和优化安全工具配置。

4、项目特点

• 灵活可定制：可以根据需求扩展或修改，适应不同规模和复杂性的网络环境。
• 预置最佳实践：开箱即用的Windows审计策略、命令行过程审计，以及额外的OS级别日志，助你快速达到安全标准。
• 便捷访问：所有服务均有固定的IP地址和默认登录凭据，方便远程访问和管理。
• 社区支持：活跃的维护和更新，遇到问题时，可以通过创建新的Issue寻求帮助。

部署与体验

Deployment of DetectionLabELK只需要Vagrant 2.2.2以上版本、VirtualBox和一定量的硬盘空间和内存。你可以选择直接使用Vagrant Cloud Box快速部署（约2小时），或者从零构建（约5小时）。具体步骤参见项目文档。

现在就行动起来，探索你的安全防御新境界，让DetectionLabELK成为你的得力助手。一起守护网络安全，阻止恶意行为的发生！

DetectionLabELKcyberdefenders/DetectionLabELK: DetectionLab ELK 是一套针对Windows环境的安全检测实验室部署工具，集成Elasticsearch、Logstash和Kibana（ELK Stack）组件，用于收集、解析和可视化虚拟化环境中发生的安全事件。项目地址:https://gitcode.com/gh_mirrors/de/DetectionLabELK