In dit artikel7
Wat is een home lab voor security?
Een home lab voor security is een omgeving die jij beheert, met systemen waarop je mag aanvallen, verdedigen en meten. Het is geen apparaat maar een opzet: jij bepaalt wat erin staat, hoe de machines met elkaar praten en wat je eruit haalt. Een home lab past binnen het hele vakgebied cybersecurity, van detectie tot penetratietesten.
Bij sommige organisaties wordt een home lab gewaardeerd, omdat het laat zien dat je zelf hebt geoefend. Het is geen eis en het vervangt geen opleiding. Welke richting je kiest, bepaalt wat je in het lab oefent. De rolgids voor SOC-analisten en de rolgids voor penetratietesters laten zien welke vaardigheden bij elke rol horen. Wil je geen eigen opstelling bouwen, dan kun je ook op oefenplatforms en CTF's oefenen.
Wat heb je minimaal nodig voor een home lab?
Een home lab bestaat uit vier soorten componenten. Je hoeft niet alles tegelijk aan te schaffen om te beginnen.
- Een host met virtualisatiesoftware. Dit is de computer waarop je meerdere virtuele machines naast elkaar draait en waarop je ze terugzet naar een eerder punt. VirtualBox is een voorbeeld van zulke software.
- Een aanvallende machine. Dit is een Linux-installatie met de tools die je wilt leren kennen, zoals Nmap, Burp Suite, Wireshark en Metasploit.
- Een of meer bewust kwetsbare doelen. Denk aan Juice Shop, DVWA, Metasploitable 2 of een VulnHub-machine. De tabel verderop zet ze naast elkaar.
- Logging en detectie. Zo leer je ook de verdedigende kant. Dat kan met Wazuh of Security Onion, of met een eigen opzet met bijvoorbeeld Splunk of Elastic.
Logging is vaak de zwaarste component. Wazuh draait volgens de quickstart met alle centrale onderdelen op één host. Voor 1 tot en met 25 agents noemt de pagina 4 vCPU, 8 GiB werkgeheugen en 50 GB opslag. Security Onion kent in de documentatie voor versie 2.4 drie installatiemodi: Import vraagt 2 CPU-cores, 4 GB werkgeheugen, 50 GB opslag en één netwerkkaart; Eval en Standalone vragen 4 cores en 200 GB opslag en twee netwerkkaarten, met 8 GB werkgeheugen voor Eval en 24 GB voor Standalone. Voor Standalone adviseert de documentatie 32 GB werkgeheugen of meer als je ook een beetje verkeer wilt monitoren.
Lees de eisen van het gekozen platform voordat je hardware koopt of een bestaande machine inricht. Wie weinig werkgeheugen heeft, kan beginnen met alleen de aanvallende machine en het doelwit, en de logging later toevoegen.
Hoe houd je je home lab veilig en binnen de wet?
Begin met de wet, want die bepaalt wat je mag doen. Artikel 138ab van het Wetboek van Strafrecht stelt het opzettelijk en wederrechtelijk binnendringen van een geautomatiseerd werk strafbaar. Het eerste lid noemt een gevangenisstraf van ten hoogste zes maanden of een geldboete van de derde categorie. Het Openbaar Ministerie beschrijft het artikel op zijn site, en de volledige tekst staat op wetten.overheid.nl.
Het OM zegt ook dat pentesten op het systeem van een ander niet is toegestaan, tenzij de eigenaar je daar uitdrukkelijk toestemming voor heeft gegeven. Het OM raadt aan je stappen bij te houden in een logbestand. De regel voor je lab is daarom simpel: je test alleen systemen die van jou zijn, of waarvoor je schriftelijke toestemming hebt. Dat geldt ook voor het netwerk van je buren, je school of je werk, en voor internet. Ook scannen of aanvallen om iets "alleen even uit te proberen" is zonder toestemming niet toegestaan. Zie hoe word je ethical hacker voor de grenzen rond pentesten in de praktijk.
Daarna komt de netwerkisolatie. VirtualBox kent meerdere netwerkmodi. NAT is de standaard: de gastmachine bereikt andere netwerken, maar machines buiten VirtualBox bereiken de gast niet zonder port forwarding. Bij bridged networking zit de gast direct op het externe netwerk. Bij internal networking praten alleen virtuele machines op hetzelfde interne netwerk met elkaar, zonder dat de host of de buitenwereld dat netwerk ziet. Bij host-only networking praten machines met elkaar en met de host, maar niet met de buitenwereld.
Zet je kwetsbare machines dus op een intern netwerk of achter NAT, en draai ze nooit in bridged modus of bereikbaar vanaf internet. Geef een machine alleen internettoegang als je die nodig hebt, bijvoorbeeld voor updates, en haal die toegang daarna weer weg. Maak snapshots voordat je iets aanvalt, zodat je terug kunt naar een schone staat.
Welke kwetsbare doelen kun je gebruiken?
Naam | Wat het is | Hoe je het draait | Waar het zich op richt |
|---|---|---|---|
Een bewust onveilige webapplicatie voor training, awareness-demonstraties en CTF's. Het is een OWASP Flagship-project met de classificatie "Training". | Met Docker, of vanaf de broncode met Node.js. Een instantie is bedoeld voor één gebruiker. | Kwetsbaarheden uit de volledige OWASP Top Ten en andere fouten uit echte applicaties. | |
Een bewust kwetsbare webapplicatie in PHP en MariaDB, bedoeld om vaardigheden en tools legaal te testen. | Als virtuele machine met netwerkmodus NAT. Zet het niet op een publieke hostingomgeving of een server die vanaf internet bereikbaar is. | Webapplicaties: kwetsbaarheden leren vinden en leren hoe je ze beveiligt. | |
Een bewust kwetsbare Ubuntu Linux-machine om veelvoorkomende kwetsbaarheden mee te testen. | Als virtuele machine op VMware, VirtualBox en andere gangbare virtualisatieplatforms. | Veelvoorkomende kwetsbaarheden op een Linux-systeem. Past bij het oefenen met netwerkdiensten. | |
Een catalogus van bewust kwetsbaar materiaal waarmee je praktische ervaring opdoet in digitale beveiliging. | Per machine de eigen instructies volgen, in een afgesloten netwerk. | Verschilt per machine. |
Juice Shop is een logisch startpunt voor webkwetsbaarheden, omdat de applicatie kwetsbaarheden uit de volledige OWASP Top Ten bevat. Metasploitable 2 is een logisch doelwit als je netwerkdiensten wilt onderzoeken, mits je het op een intern netwerk draait. Kies daarna per doel welk gereedschap past en lees de uitleg over pentesttools om het verschil tussen die tools te begrijpen.
Hoe zet je logging en detectie op?
Wazuh noemt zichzelf een gratis en open source beveiligingsplatform dat XDR- en SIEM-mogelijkheden samenbrengt. Het bestaat uit drie centrale onderdelen (de Wazuh indexer, de Wazuh server en het Wazuh dashboard) en één agent voor de eindpunten. De documentatie noemt onder meer file integrity monitoring, analyse van logdata, kwetsbaarheidsdetectie, configuratiebeoordeling en incident response. Lees voor de achtergrond ook SIEM uitgelegd en EDR en XDR uitgelegd.
Security Onion is volgens de eigen documentatie een gratis en open platform, gebouwd door verdedigers voor verdedigers. De documentatie noemt netwerkzichtbaarheid, hostzichtbaarheid, intrusion detection, honeypots, logbeheer en casebeheer. Doug Burks startte het project in 2008.
Een uitgewerkt scenario maakt het concreet. Je draait Juice Shop met Docker in een virtuele machine. Vanaf je aanvallende machine voer je met Burp Suite een inlogaanval of een injectie uit. Daarna zoek je in je logging welke sporen dat achterliet: webverkeer, mislukte inlogpogingen en nieuwe processen. Wat je ziet, hangt af van hoe je de logs van de host of de applicatie naar Wazuh stuurt, en dat is precies het leerpunt. Schrijf op wat je zag, wat je detectie miste en welke regel je zou schrijven, want zo oefen je beide kanten in één opdracht. Voor de detectiekant van dit werk is security monitoring een nuttig onderwerp om te verdiepen.
Welke doelen kun je met een home lab stellen?
Koppel je doelen aan een rol, niet aan aantallen.
- Richting SOC of detectie. Koppel logbronnen, boots een aanval na en test of je eigen alarm afgaat. Dit past bij het werk van een SOC-analist in het vakgebied security operations. Schrijf daarna een eigen detectieregel en test of die de aanval ook echt oppakt.
- Richting pentest. Val webapplicaties en netwerkdiensten aan die van jou zijn, leg je bevindingen vast en schrijf er een korte rapportage van. Dit past bij de rol van penetration tester.
- Richting engineering of cloud. Zet de omgeving als code op met Docker, Linux en scripts, zodat je hem in korte tijd opnieuw kunt opbouwen.
- Richting beheer of IAM. Beheer een kleine Active Directory-omgeving en richt toegangsrechten in en test ze.
Wie wil leren hoe bedrijfsnetwerken werken, kan een Windows-machine toevoegen als domeincontroller voor een kleine Active Directory-omgeving. Lees de licentievoorwaarden van de Windows-software die je gebruikt, want testsoftware heeft eigen regels.
Om je doelen te toetsen, kun je het European Cybersecurity Skills Framework van ENISA gebruiken. Het ECSF deelt cybersecurityfuncties in 12 profielen in, met per profiel titels, missie, taken, vaardigheden, kennis en competenties. Kies het profiel dat bij je richting past en kijk welke taken daarin je lab nog niet dekt.
Hoe laat je een home lab zien aan een werkgever?
Beschrijf per lab kort wat het doel was, hoe de opzet eruitzag en wat je deed. Maak een eenvoudige netwerktekening, en noteer wat je vond en wat misging. Ook wat misging is de moeite waard om te laten zien.
Zet scripts en configuratie in een repository en schrijf de verslagen zonder gevoelige gegevens. Op je cv volstaat één regel met de uitkomst, bijvoorbeeld "detectieregel geschreven en getest tegen een aanval op een eigen testomgeving". In het gesprek vertel je hoe je het aanpakte, want daar gaat het om je denkwijze. Voor het gesprek en de technische test helpt de uitleg over proefopdrachten. Wil je weten welke werkgevers een SOC-analist zoeken, kijk dan op de pagina voor SOC-analisten.
Een home lab is een aanvulling. Het geeft geen garantie op een baan. Meer over de rollen en de instroom vind je in de kennisbank.
Wat is een home lab voor security?
Een home lab voor security is een eigen testomgeving van virtuele machines. Er staan een aanvallende machine, een kwetsbaar doelwit en logging in, zodat je aanvallen en verdediging kunt oefenen op systemen die van jou zijn. Jij bepaalt zelf de opzet en wat je ermee leert.
Wat heb je nodig om te beginnen?
Je hebt een host met virtualisatiesoftware nodig, een aanvallende machine en een bewust kwetsbaar doelwit. Voor de verdedigende kant voeg je logging en detectie toe, en dat is vaak de zwaarste component: lees de eisen van het platform voordat je hardware kiest. Begin met één doelwit, één aanvallende machine en één doel, en breid uit als dat past bij wat je wilt leren. Wie overstapt naar cybersecurity vindt in de gids over omscholen meer over die route.
Mag je kwetsbare systemen op internet of het netwerk van anderen scannen of aanvallen?
Nee, niet zonder toestemming. Het Openbaar Ministerie zegt dat pentesten op het systeem van een ander niet is toegestaan, tenzij de eigenaar je uitdrukkelijk toestemming heeft gegeven. Opzettelijk en wederrechtelijk binnendringen van een geautomatiseerd werk is strafbaar op grond van artikel 138ab van het Wetboek van Strafrecht. Ook het scannen van het netwerk van een buur, een school of een werkgever is zonder toestemming niet toegestaan.
Welke bewust kwetsbare systemen kun je gebruiken?
OWASP Juice Shop, DVWA, Metasploitable 2 en VulnHub-machines zijn vier mogelijke keuzes. Juice Shop en DVWA zijn webapplicaties, Metasploitable 2 is een Linux-machine met veelvoorkomende kwetsbaarheden, en VulnHub is een catalogus met meerdere machines. Elk project heeft zijn eigen installatie-instructies, en die volg je het beste bij het project zelf.
Hoe houd je een kwetsbare machine veilig in je lab?
Zet de machine op een intern netwerk of achter NAT, en laat hem nooit bridged draaien of bereikbaar zijn vanaf internet. Maak een snapshot voordat je begint, zodat je terug kunt naar een schone staat. Geef de machine alleen internettoegang als je die nodig hebt, bijvoorbeeld voor updates, en haal die daarna weer weg.