configuration du reseau

Créer les VMnets dans VMware

![[Pasted image 20260707155924.png]]

configuration du firewall

nous avons mis sur une vm un parefeu OPNSense

configuration de l’AD DS

Déployer des contrôleurs de domaine AD DS

ip add : 10.10.0.10 nom : DC01

Architecture Lab Cybersécurité — nyoma.local

Informations générales

Topologie réseau

Internet (WiFi — Livebox)
        │
        │ NAT VMware (VMnet8 — 192.168.98.0/24)
        │
┌───────▼────────────────────────────────────────────┐
│              OPNsense Firewall                      │
│   WAN : em1 → 192.168.98.133/24 (DHCP NAT)        │
│   OPT1: em0 → 10.10.0.1/24  (AD/LAN)              │
│   OPT2: em2 → 10.20.0.1/24  (DMZ)                 │
│   OPT3: em3 → 10.30.0.1/24  (SOC)                 │
│   OPT4: em4 → 10.40.0.1/24  (DevOps)              │
│   OPT5: em5 → 10.50.0.1/24  (Red Team)            │
└────┬──────────┬──────────┬──────────┬──────────────┘
     │          │          │          │
  VMnet10    VMnet11    VMnet13    VMnet14
  AD/LAN      DMZ        SOC      Red Team
  10.10.0     10.20.0   10.30.0   10.50.0

Plan d’adressage VLAN

Note mapping VMnet réel : VMnet12→OPT5 (Red Team), VMnet13→OPT3 (SOC), VMnet14→OPT4 (DevOps)

Inventaire des machines virtuelles

✅ Déployées

⏳ À déployer

Active Directory

Forêt et domaine

Structure OU

DC=lab,DC=local
└── OU=Corp
    ├── OU=Users
    │   ├── OU=Direction    → Groupe: GG_Direction
    │   ├── OU=IT           → Groupes: GG_IT_Admin, GG_IT_Support
    │   ├── OU=Finance      → Groupe: GG_Finance
    │   ├── OU=RH           → Groupe: GG_RH
    │   ├── OU=Marketing    → Groupe: GG_Marketing
    │   └── OU=Support      → Groupes: GG_Sales, GG_Production
    ├── OU=Servers
    ├── OU=Admins
    └── OU=ServiceAccounts  → Groupe: GG_Backup_Operators

Utilisateurs créés (25)

Comptes spéciaux (Red Team)

Services configurés

OPNsense

Active Directory (DC01)

Phases du projet

Machines Virtuelles — Lab Cybersécurité

VMs déployées

VMs à déployer

Budget RAM total

⚠️ Attention : Le total prévu (40 Go) dépasse la RAM de l’hôte (32 Go). Ne jamais démarrer toutes les VMs en même temps. Démarrer uniquement les VMs nécessaires à la phase en cours.

Recommandation démarrage par phase

Règles firewall inter-VLAN

Roadmap Lab Cybersécurité — Réaliste & Avancé

Objectifs : CPTS (HTB) · CWES · CRTL (ZeroPoint) · Red Team · Exploit Dev · SOC Avancé

Architecture finale visée

Internet
    │
OPNsense (Firewall/Router)
    │
    ├── VLAN 10 (AD/LAN)     → DC01, DC02, CL01, Matrix (Jump)
    ├── VLAN 20 (DMZ)        → Serveur Web vulnérable
    ├── VLAN 30 (SOC)        → Wazuh, Zabbix
    ├── VLAN 40 (DevOps)     → Docker/K8s (plus tard)
    └── VLAN 50 (Red Team)   → Kali, C2

ÉTAT ACTUEL DES VMs

PHASE 1 — Socle réseau et sécurité (FAIT À 90%)

Objectif : infrastructure stable et sécurisée

• OPNsense installé et configuré
• 5 VLANs opérationnels (10/20/30/40/50)
• Kea DHCP fonctionnel sur tous les VLANs
• Règles firewall inter-VLAN
• NAT Outbound configuré
• DNS Unbound activé
• NTP configuré (pool.ntp.org)
• IDS/IPS Suricata activé sur OPNsense
• Réparer internet Kali (VMnet12)

PHASE 2 — Active Directory réaliste (FAIT À 85%)

Objectif : environnement AD d’entreprise avec vulnérabilités intentionnelles

• DC01 Windows Server 2025 — Forest lab.local
• 25 utilisateurs + groupes (script PowerShell)
• Structure OU réaliste (IT/Finance/RH/Direction…)
• CL01 jointé au domaine
• Comptes faibles : jmoreau (Welcome1) · svc-backup (Backup123)
• Domain Admin : adm-tech
• DC02 — Child domain child.lab.local
• GPO de sécurité de base
• Auditing activé (logon, object access, privilege use)
• Matrix — Jump server configuré
• Kerberoasting : SPN sur svc-backup
• AS-REP Roasting : compte sans pré-auth Kerberos
• ACL abusable : WriteDACL, GenericAll sur certains objets
• Délégation Kerberos non contrainte (unconstrained)
• AdminSDHolder mal configuré
• AD CS vulnérable (ESC1, ESC8) sur DC01

PHASE 3 — SOC & Monitoring (EN COURS)

Objectif : détection en temps réel de toutes les attaques

3.1 Wazuh (SIEM/EDR)

• Wazuh Manager installé (Ubuntu 22.04 — 10.30.0.10)
• Internet fonctionnel sur Wazuh
• Dashboard Wazuh accessible
• Agent Wazuh sur DC01
• Agent Wazuh sur CL01
• Agent Wazuh sur DC02 (après install)
• Règles de détection AD :
  • Kerberoasting (Event 4769)
  • Pass-the-Hash (Event 4624 type 3)
  • DCSync (Event 4662)
  • Golden Ticket (Event 4768)
  • BloodHound (LDAP massif)
  • Mimikatz (lsass access)
• Alertes email/Slack configurées

3.2 Zabbix (Monitoring infrastructure)

• Zabbix Server installé (Ubuntu 22.04 — 10.30.0.20)
• Monitoring DC01 (CPU, RAM, services AD)
• Monitoring CL01
• Monitoring OPNsense (SNMP)
• Monitoring Wazuh lui-même
• Dashboard personnalisé lab
• Alertes sur services critiques (AD DS, DNS, Kerberos)

3.3 ELK Stack (optionnel — avancé)

• Elasticsearch + Kibana sur Wazuh ou VM dédiée
• Intégration logs OPNsense → ELK
• Intégration logs DC01 → ELK
• Dashboards de visualisation

PHASE 4 — Jump Server & Matrix (Pivoting)

Objectif : simuler un accès réaliste au SI via un point d’entrée

Matrix (Jump server — 10.10.0.50)

• VM Ubuntu ou Windows Server installée
• SSH/RDP accessible depuis Kali
• Connecté au VLAN AD/LAN (VMnet10)
• Agent Wazuh installé
• Pivot depuis Kali → Matrix → DC01

Scénarios de pivoting

• Port forwarding SSH (ssh -L, -R, -D)
• Chisel/Ligolo-ng pour tunneling
• Pivoting via SOCKS5
• Double pivot : Kali → Matrix → CL01 → DC01

PHASE 5 — Red Team & C2 (Kali + C2)

Objectif : attaques réalistes, techniques CPTS/CWES/CRTL

5.1 C2 Framework

• Réparer internet Kali (VMnet12 → 10.50.0.x)
• Havoc C2 installé sur Kali
  • Team server configuré
  • Listener HTTPS sur port 443
  • Payload généré pour CL01
• Sliver C2 (backup/alternative)
  • mTLS listener
  • Implant généré

5.2 Attaques AD (CPTS/CRTL)

• Reconnaissance
  • BloodHound + SharpHound (graphe AD)
  • ldapdomaindump
  • enum4linux-ng
  • CrackMapExec / NetExec
• Initial Access
  • Password Spray (jmoreau → Welcome1)
  • AS-REP Roasting
  • Phishing simulé (GoPhish)
• Privilege Escalation
  • Kerberoasting (svc-backup → Backup123)
  • ACL abuse (WriteDACL)
  • Token impersonation
  • Unconstrained delegation
• Lateral Movement
  • Pass-the-Hash
  • Pass-the-Ticket
  • OverPass-the-Hash
  • WMI / PSExec / SMBExec
• Domain Dominance
  • DCSync (secretsdump)
  • Golden Ticket
  • Silver Ticket
  • Diamond Ticket
  • AD CS ESC1/ESC8
  • Cross-domain attack (lab.local → child.lab.local)
• Persistence
  • Skeleton Key
  • AdminSDHolder backdoor
  • GPO abuse
  • DCShadow

5.3 Développement d’exploit (CWES)

• VM dédiée exploit dev (Windows 10 + outils)
• Buffer overflow (x86/x64)
• SEH exploitation
• ROP chains
• Bypass DEP/ASLR
• Shellcode custom

5.4 Evasion EDR (CRTL)

• Bypass Wazuh/AV
  • Process hollowing
  • DLL sideloading
  • AMSI bypass
  • ETW patching
  • Unhooking NTDLL
• Obfuscation payloads
  • Encodage shellcode
  • Payload chiffré AES
  • In-memory execution
• Living off the Land (LOLBins)
  • certutil, regsvr32, mshta
  • PowerShell constrained mode bypass

PHASE 6 — DMZ & Applications Web (après certifs)

Objectif : pentest web réaliste

• Serveur Ubuntu en DMZ (VMnet11 — 10.20.0.10)
• Apache/Nginx installé
• DVWA (Damn Vulnerable Web App)
• WebGoat
• Juice Shop (OWASP)
• Application custom avec vulnérabilités :
  • SQLi, XSS, SSRF, IDOR, LFI/RFI
• WAF OPNsense en frontal

PHASE 7 — Docker & Kubernetes (PLUS TARD)

• VM Ubuntu DevOps (VMnet14 — 10.40.0.10)
• Docker installé
• Kubernetes K3s cluster
• Jenkins CI/CD
• Pipeline sécurisé avec scan SAST/DAST

PLANNING RECOMMANDÉ

Semaine 1-2 (maintenant)

1. Finir Phase 1 → DNS Unbound + NTP + Suricata
2. Réparer internet Kali
3. Installer Wazuh complètement + agents
4. Configurer Zabbix monitoring

Semaine 3-4

5. DC02 child domain
6. Vulnérabilités AD intentionnelles
7. Jump server Matrix
8. BloodHound reconnaissance

Semaine 5-6

9. C2 Havoc opérationnel
10. Premières attaques AD avec détection Wazuh
11. Password Spray + Kerberoasting
12. Exercice Red vs Blue

Semaine 7-8

13. Lateral movement + Domain dominance
14. Evasion EDR
15. Développement exploit (CWES)
16. Préparation certifs CPTS/CRTL

CERTIFICATIONS VISÉES

RESSOURCES RAM — DÉMARRAGE PAR SCÉNARIO

Ne jamais dépasser 28-30 Go actifs simultanément sur 32 Go RAM hôte.