hackalex
ES
Menú

Montar un laboratorio de Red Team en casa: Ludus + GOAD-Light + Elastic

Apunte técnico

Qué vamos a montar

Un laboratorio de Active Directory vulnerable para practicar Red Team, con telemetría defensiva para ver qué deja cada ataque. Todo en un único servidor Proxmox, accesible por VPN desde tu PC.
  • Ludus → orquesta las VMs, la red y la VPN sobre Proxmox
  • GOAD-Light → dominio vulnerable de Orange Cyberdefense con 3 Windows Server 2019: dos dominios (sevenkingdoms.local y north.sevenkingdoms.local) y un servidor miembro con IIS y SQL Server
  • Elastic Security → Elasticsearch, Kibana y Fleet en una VM aparte, con Elastic Agent y Sysmon en los tres Windows
  • WireGuard → acceso desde tu equipo a la red del laboratorio
La idea del montaje es de la guía de stillbigjosh. Aquí está lo que hice yo, los fallos que me aparecieron y cómo se practica después.

Arquitectura

  • Proxmox (host) → ejecuta Ludus y todas las VMs
  • Router (Debian 13) → 10.2.10.254, une la red del laboratorio
  • VLAN 10 → GOAD-Light
  • kingslanding (DC01, sevenkingdoms.local) → 10.2.10.10
  • winterfell (DC02, north.sevenkingdoms.local) → 10.2.10.11
  • castelblack (SRV02, miembro de north) → 10.2.10.22
  • VLAN 20 → Elastic (Debian 12) → 10.2.20.2
  • Tu PC → entra por el túnel WireGuard hacia 10.2.0.0/16
El laboratorio queda aislado de tu red doméstica. Tú llegas a él por la VPN y las máquinas vulnerables no se ven con el resto de tu casa.

Hardware que usé

  • CPU: Intel i5-9600K (6 núcleos, 6 hilos)
  • RAM: 32 GB (31 GiB visibles)
  • Disco: unos 350 GB libres en local-lvm y un disco de 1 TB para GOAD y copias
  • Red: Ethernet
El PC que hace de servidor Proxmox: un equipo de sobremesa normal, sin nada de rack
El PC que hace de servidor Proxmox: un equipo de sobremesa normal, sin nada de rack
La guía original lo corre en 24 GB de RAM; con 32 GB tienes más margen. El cuello de botella es la RAM; CPU y disco sobran. Más detalle en Problemas y soluciones.

Orden del montaje

Avisos antes de empezar

  • Ludus modifica el host Proxmox: actualiza paquetes y kernel, crea su red interna (vmbr1000) y configura WireGuard. Si ya usas ese Proxmox para otras cosas, no lo instales a ciegas
  • Antes de instalar, haz copia de lo que no quieras perder. Yo guardé la configuración de red del host y una copia de mi contenedor de AdGuard
  • No expongas el laboratorio a Internet: son máquinas vulnerables a propósito