Se definen dos redes físicas diferenciadas para posibilitar la separación entre las labores de análisis y operación de las relativas al despliegue y ejecución de ataques. De estar forma, se establecen:

– Una Red SOC, que incluye los equipos de los operadores y un sistema de almacenamiento en red. Esta red tiene acceso completo a Internet a través del Router de Acceso. Se incorpora acceso vía SSH y VPN a esta red para posibilitar la operación remota.

– Una Red LAB, que constituye el núcleo del laboratorio. Esta red incluye un NAS compartido con la Red SOC y un conjunto de equipos pertenecientes a una nube privada (clúster) basada en Proxmox. La infraestructura física de red consiste en un conmutador gestionable con capacidad para port mirroring, a fin de posibilitar la monitorización completa de la red, y un Router de Aislamiento.

Esta separación en dos redes posibilita el aislamiento, selectivo o completo, de la red de experimentación del resto de redes tanto a nivel de reglas de cortafuegos como físico. Así, en el caso más habitual, el router de aislamiento desplegará reglas que limiten el tráfico de acuerdo a las necesidades del experimento a realizar. Adicionalmente, se podría aislar físicamente la red sin más que desconectar el enlace (EnlL en la Fig. 1).

– Accesibilidad y trazabilidad. Se puede acceder remotamente al laboratorio por parte de investigadores y alumnos. Se requiere trazabilidad en los accesos y acciones que se realicen sobre el laboratorio.

– Modo aislado. Se puede aislar la red con los escenarios en el momento en el que sea necesario realizar experimentos que puedan conllevar riesgo para otros equipos. En este modo puede operarse la red de forma sencilla a través de terminales.

– Capacidad de monitorización. La monitorización del tráfico de red y otras evidencias se realizar de forma simple por los usuarios usando interfaces y espacio de almacenamiento preconfigurados.

– Análisis onlinen y offline. El análisis puede realizarse tanto durante la ejecución de los experimentos como posteriormente a partir de las trazas y/o capturas. Esto permite la formación de CSO operando en tiempo real en un SIEM y también el análisis forense y la adquisición de conocimiento.

– Usabilidad y tolerancia a fallos. Incorpora elementos predefinidos asociados a las diferentes tareas o equipos (monitorización, equipos finales, generación de ataques, etc.). Además, estos elementos pueden reestablecerse fácilmente en caso de ser afectados por ataques o de fallos catastróficos.

– Capacidades para ataques multietapa. El sistema es capaz de almacenar y procesar datos durante periodos prolongados de tiempo. Asimismo, incorpora herramientas que permiten ejecutar ataques multietapa.

– Complejidad de los escenarios. Es posible establecer fácilmente escenarios que incluyan elementos de interconexión de redes.

En la Red LAB se incorporan herramientas y equipos predefinidos organizados en 5 bloques funcionales:

– Módulo Red Team: Incorpora los elementos necesarios para la ejecución de ataques. La funcionalidad mínima incluye análisis de vulnerabilidades, test de penetración y entornos de ejecución de exploits.

– Módulo Blue Team: Los sistemas tipo SIEM y herramientas auxiliares para la detección y respuesta a ataques se incluyen en este módulo que operará a modo de SOC.

– Módulo White Team: Su funcionalidad principal es la adquisición y monitorización de los eventos en la Red LAB para el almacenamiento en el NAS. También incorpora herramientas tipo SIEM para la supervisión de los experimentos.

– Módulo Target: Incluye a las diferentes máquinas finales que pueden incluirse en los escenarios y que, potencialmente, pueden ser objeto de ataques. Se incorporan equipos con varios sistemas operativos.

– Módulo Conectividad: Permite la definición de redes y subredes dentro de la Red LAB, lo que se puede conseguir tanto mediante dispositivos físicos adicionales como a partir de equipos de red virtualizados.