He montado en casa un laboratorio de Active Directory vulnerable con telemetría defensiva, y lo he documentado paso a paso en una guía aparte. Aquí cuento qué es, por qué lo monté y dónde está cada parte.
Qué es
Todo corre en un único servidor Proxmox (un i5-9600K con 32 GB de RAM):
- Ludus orquesta las VMs, la red y la VPN
- GOAD-Light pone el Active Directory vulnerable: dos dominios y tres Windows Server 2019
- Elastic Security recoge los eventos, con Elastic Agent y Sysmon en todos los Windows
- WireGuard me da acceso desde mi equipo sin exponer nada a Internet
Por qué
Practicar ataques a AD es solo la mitad. La otra mitad es saber qué deja cada acción y qué ve el equipo defensivo. Con Elastic en el mismo laboratorio, cada cosa que pruebo la puedo mirar después en Kibana: qué eventos generó, qué reglas saltaron y cuáles no.
La guía