Préparation et suivi de l’environnement GNS3 avec Caldera, cibles Windows/Linux et contexte contrôleur de domaine.
Lab d’analyse sécurité Caldera + ELK
Lab d’audit sécurité avec MITRE Caldera, agents Sandcat, VMs GNS3, vues ELK/SIEM, captures Wireshark, logs de session et analyse de preuves type MITRE.
Points clés
- Le projet se concentre sur la corrélation de preuves, pas seulement sur le lancement de simulations d’attaque.
- Caldera, agents, machines cibles, contrôleur de domaine, captures réseau, vues ELK et logs de session sont reliés dans l’analyse.
- Le TP est transformé en étude de cas plus professionnelle autour de la timeline et de la preuve.
ContexteLab d’audit sécurité R5.Cyber.10
ScénarioÉmulation d’adversaire Caldera avec observation de mouvement latéral
Sources de preuveOpérations Caldera, agents Sandcat, logs ELK, PCAP Wireshark et fichiers de session
ObjectifCorréler l’activité simulée et produire des preuves réutilisables côté blue team
Ce que j'ai pris en charge
Observation du déploiement des agents Sandcat et du comportement des opérations Caldera.
Collecte et comparaison entre captures réseau, observations ELK/SIEM et fichiers de session.
Séparation entre consignes de TP et preuves observées pour garder une fiche portfolio propre.
Résultats et preuves
Architecture de corrélation
Timeline
Démarrer le lab et les agents
Utiliser l’environnement GNS3, la console Caldera et les agents Sandcat pour préparer la visibilité de l’émulation.
Observer et collecter
Capturer le trafic, consulter ELK/SIEM et relever les détails d’opération Caldera pendant le scénario.
Corréler et rapporter
Aligner les horodatages, comparer les sources, labelliser les observations et produire des notes d’investigation.
Vue d’ensemble
Ce projet est un lab d’analyse blue team basé sur MITRE Caldera, des observations ELK/SIEM, des machines virtuelles GNS3 et des captures Wireshark.
Le but n’était pas seulement de lancer une attaque simulée. La partie utile était d’observer où l’activité apparaît, de comparer plusieurs sources de preuve et de documenter le résultat de façon exploitable pour l’analyse d’incident.
Contexte
Les fichiers fournis contiennent des ressources R5.Cyber.10 autour de :
- découverte de MITRE Caldera
- déploiement d’agents Sandcat
- observation de mouvement latéral
- SIEM et labellisation
- vues ELK
- captures Wireshark
- fichiers de monitoring et de session
Le contexte du lab inclut une VM audit Caldera, des machines cibles Windows, une machine utilisateur Linux et un contrôleur de domaine Windows Server.
Ce que j’ai réalisé
La version portfolio se concentre sur les compétences professionnelles utiles :
- suivre les opérations Caldera et le comportement des agents
- collecter des preuves PCAP et logs
- comparer les observations ELK avec les captures réseau
- aligner l’activité avec les horodatages
- distinguer sessions répétées et trafic de fond
- transformer les observations en support de reporting structuré
Architecture / approche
Le workflow est orienté preuve :
- préparer les machines du lab
- déployer ou observer les agents Caldera
- lancer ou suivre une opération
- capturer le trafic réseau
- inspecter les logs ELK/SIEM
- comparer les traces
- labelliser et expliquer ce qui est visible
C’est plus proche d’un travail blue team réel qu’une simple démonstration d’outil.
Preuves disponibles
L’archive contient plusieurs sources utiles :
- documents TP 1 et TP 2
- fichiers de session Caldera/SIEM
- logs de monitoring
- consignes de scénario et supports d’analyse
Le portfolio ne doit pas publier les identifiants ou les sujets complets. Les preuves publiques utiles seraient des captures nettoyées, un tableau MITRE, une courte timeline et des exemples d’IoC/recommandations anonymisés.
Résultats
Ce projet démontre :
- logique de corrélation d’événements
- discipline de lab sécurité
- aisance avec PCAP et vues SIEM
- comparaison entre traces d’attaque et trafic normal/de fond
- reporting structuré dans un contexte académique
Limites et améliorations possibles
L’archive actuelle contient plus de ressources de TP que de preuves finales prêtes à publier. Une future passe doit ajouter uniquement des preuves nettoyées :
- une capture d’opération Caldera
- une capture de requête/résultat ELK
- une capture Wireshark filtrée
- un tableau MITRE ATT&CK
- un tableau IoC/recommandations
Ce que ce projet démontre
Ce projet soutient mon positionnement cybersécurité parce qu’il montre la partie défensive : observer, corréler, labelliser, expliquer et recommander.
Tableau de preuves
