Je reconstruis mon lab pour apprendre à administrer un réseau segmenté et analyser ses événements de sécurité.
Cette page présente l’architecture et l’état actuel. Les changements et solutions techniques sont dans le journal de construction ; les analyses d’alertes dans les write-ups publiés.
État validé — 18 octobre 2026
Deux hôtes Proxmox sont opérationnels. DC01 héberge Active Directory et DNS pour le domaine ad.lab.internal. Son agent Wazuh est actif : c’est le seul agent déployé, et une création de compte AD a été retrouvée dans le SIEM.
| Hôte | Matériel et stockage actuels | Services |
|---|---|---|
| pve1 — M910q | 16 Go RAM, Samsung PM981a NVMe 512 Go | DC01 : Windows Server 2025, AD DS, DNS |
| pve2 — M920q | i5-8500T, 32 Go RAM, Samsung PM981a NVMe 512 Go | pfSense et Wazuh ; SATA 512 Go séparé pour les sauvegardes |
Les deux hôtes utilisent Proxmox VE 9.2, ext4 et LVM-thin. L’ancien SSD du M910q a été remplacé ; le NVMe 1 To du M920q a été retiré pour un autre projet.
Architecture réseau
Le Beryl AX sépare le lab du réseau domestique. Le switch NETGEAR GS308E transporte les VLAN vers les deux hôtes ; pfSense assure le routage et le filtrage.
| Zone | Réseau | Usage actuel ou prévu |
|---|---|---|
| ADMIN — VLAN 1 | 192.168.8.0/24 | Administration, pve1 (.10), pve2 (.11) |
| SERVERS — VLAN 20 | 10.0.20.0/24 | DC01 : 10.0.20.10 |
| CLIENTS — VLAN 30 | 10.0.30.0/24 | Windows 11 prévu |
| ATTACK — VLAN 40 | 10.0.40.0/24 | Exercices d’attaque prévus |
| SOC — VLAN 50 | 10.0.50.0/24 | Wazuh : 10.0.50.10 ; TheHive prévu |
| DMZ — VLAN 60 | 10.0.60.0/24 | Serveur Linux prévu |
Collecte validée : DC01 → agent Wazuh → pfSense → Wazuh.
Une règle limitée à DC01 → Wazuh en TCP 1514–1515, placée avant le blocage RFC1918, autorise la communication et l’enregistrement de l’agent. Les deux ports ont été testés. Cela n’ouvre pas les interfaces d’administration à tous les VLAN ; les flux nécessaires au futur poste Windows restent à définir.
Première investigation SOC — 4720
J’ai créé un compte de test désactivé, soc.wazuh, puis retrouvé son événement 4720 dans Wazuh Threat Hunting : agent DC01 (001), journal Windows Security, niveau d’alerte 8, auteur AD\Administrateur.
Conclusion : activité administrative autorisée, pas une compromission. Le niveau d’une alerte doit être interprété avec son contexte.
Les événements de création 4720 et de suppression 4726 ont également été vérifiés localement avec soc.test, supprimé en fin d’exercice. Le nettoyage de soc.wazuh reste à confirmer.
Contrôles et limites
- Active Directory : domaine, services, partages SYSVOL/NETLOGON et résolution DNS vérifiés. Les tests ciblés Advertising et SysVolCheck passent ; des avertissements historiques DNS/DFSR restent à revoir.
- Sécurité : OU, comptes fictifs standards, groupes, stratégie de mots de passe et GPO d’audit configurés. Les audits Kerberos sont activés, mais les exercices associés restent à réaliser.
- Sauvegardes : pfSense et Wazuh restaurés depuis des archives vérifiées. Tâche hebdomadaire, quatre copies conservées sur le SATA de pve2. Même hôte physique : ce n’est pas une sauvegarde externe. DC01 n’est pas encore inclus.
Reconstruction : les étapes utiles
Migration du M920q — 17 octobre 2026
Remplacement du NVMe, réinstallation en ext4/LVM-thin et restauration de pfSense et Wazuh. Réseau, accès au dashboard et démarrage automatique vérifiés.
Remise en service du M910q — 18 octobre 2026
Remplacement du SSD après les incidents ZFS, puis installation de DC01 et de son agent Wazuh. Le PM981a affiche 3 % d’usure et aucune erreur d’intégrité des données ; des erreurs de commande NVMe restent à surveiller.
Les grandes étapes et les validations sont résumées dans le journal de construction.
La première version du lab reste conservée comme archive historique.