# Отчет о проделанной работе.
> Автор: Юденков Алексей

## Занятие 1

Без практической работы.

## Занятие 2

- [x] Развернуть шаблон лабораторного стенда на PNET



- [x] Настроить Snort




- [x] Посмотреть правила сработок snort, выборочно проверить их работу (в занятии есть пример с dns запросом)



- [x] Сервер DC сделать контроллером домена, Win10 внести в этот домен (аналог практики модуля windows)




## Занятие 3

### Проведение атак

Провести набор атак. Обнаружить в журнале IDS сработки сигнатур. Перевести IDS в режим IPS и проверить, что атаки более не применимы.

#### EternalBlue
- [x] На pfsense включите правило NAT для 445 порта


- [x] На kali linux, подключенной к WAN, зайдите в msfconsole. Найдите эксплойт MS17-010, укажите параметры атаки в виде ip адреса WAN pfsense. После проведения атаки найдите события в журнале snort на pfsense.




#### Bluekeep
- [x] На pfsense включите правило NAT для 3389 порта


- [x] На kali linux, подключенной к WAN, зайдите в msfconsole. Найдите эксплойт BlueKeep, укажите параметры атаки в виде ip адреса WAN pfsense. После проведения атаки найдите события в журнале snort на pfsense. В случае возникновения синего экрана смерти -- повторите атаку (обычно хватает 3-4 попыток).


P.S. По всей видимости 17-я версия VW ware не дает возможности реализовать атаку.

#### Сканирование
- [x] На kali linux, подключенной к LAN, проведите сканирование подсетей. Используйте команду masscan -p1-1024 192.168.1.0/24. Затем просканируйте остальные сети (192.168.10.0/24, 192.168.50.0/24). После проведения сканирования найдите события в журнале snort на pfsense.

Топология с запущенными машинами выглядит следующим образом:


Сканирование подсети 192.168.1.0/24:


Сканирование подсети 192.168.10.0/24:


Сканирование подсети 192.168.50.0/24:


#### Zerologon
- [x] На kali linux, подключенной к LAN, скачайте эксплойт (можно использовать любой другой) git clone https://github.com/risksense/zerologon. Примените эксплойт к контроллеру домена. После проведения атаки найдите события в журнале snort на pfsense.

Запустим эксплойт с парематрами целевой машины на Kali linux:


В snort видим срабатывание alert:


### Блокировка атак
- [x] Зайдите в Services -> Snort -> LAN Interface Settings. Найдите там секцию Block Settings. Включите данный функционал (Block Offenders), после чего перезагрузите интерфейс snort. Таким образом включатся блокировки. Повторите все атаки и удостоверьтесь, что атаки более не применимы.

Включим флаг Block Offenders:


К сожалению, мы видим, что и при влкюченном режиме блокирования атака происходит:


## Занятие 4

Настраиваем проброс портов на PfSense:


С помощью scp передаем с машины Windows стек opensearch:


В /opt/ создаем указанные папки и задаем необходимые параметры:


Командой dpkg -i устанавливаем opensearch, правим конфиги в части оптимизации памяти, добавляем сервис в автозагрузку и стартуем его.
После успешного запуска, работоспособность opensearch можно проверить запросом curl:


Командой dpkg -i устанавливаем opensearch-dashboards, правим конфиги в части портов и адресов доступа, добавляем сервис в автозагрузку и стартуем его.
После успешного запуска, работоспособность opensearch-dashboards можно проверить перейдя в браузере windows server 2016 по адресу 192.168.50.250:5601.
Введя в форме логин/пароль мы попадаем на стартовую страницу opensearch-dashboards:


Установить пакет logstash, выполнить настройки конфигов, добавить сервис в автозагрузку и запустить


На машине windows server в браузере открыть opensearch. В меню Stack management настройить шаблоны для получаемых логов.


В меню Discovered можно видеть сбор логов по созданному шаблону.


## Занятие 6

Настройка bWAPP

- настроим статический ip address


Настройка WAF

- настроить VLAN в pfsense (DMZ) и правила для него



- Настроить статичный ip adress, проверить интернет соединение



- добавим репозитории, установим необходимые пакеты, в т.ч исходные коды nginx



- клонируем репозиторий ModSecurity


- устанавливаем необходимые пакеты


- сконфигурировать исходные коды и начать компиляцию


- далее make install

- переходим в папку nginx

- ставим доп пакеты и конфигурируем модуль ModSecurity-nginx



- собираем и копируем модули


- корректируем файлы конфигурации, копируем библиотеки и конфиги. Проверяем nginx -t


- скачаем правила для OWASP. Разархивируем в папку /nginx/modsec/

- корректируем конфиги, перезапускаем nginx, запускаем вывод лога modsec_audit.log в консоль

- идем на сайте bWAPP и заполняем на нем форму логин/пароль через адрес 10.10.10.10


- видим поступающие логи


## Занятие 7

### Провести атаки на веб-сайт. Обнаружить триггеры WAF на эти атаки.

- проведем атаку SQL Injection

введем в поле поиска "spider"
запрос удался, в базе нашелся фильм, WAF отреагировал на атаку



- изменим запрос



в логах WAF четко виден характер атаки


- проведем атаку Store XSS



в логах WAF также четко виден характер атаки


### Убедиться, что WAF, работающий в режиме блокировок действительно блокирует эти атаки.

- включим режим фильтрации в WAF, указав в конфигурационном файле SecRuleEngine On


- проведем атаку SQL Injection


- WAF блокируем атаку, что видно на странице сайта и в логах WAF


- попытаемся реализовать отраженную XSS атаку


- WAF также блокирует её: