Blackhat Mea 2025 Arsenal Lab

BlackHat MEA 2025阿森纳实验室——基于MCP的人工智能威胁检测平台

此存储库包含为我们的BlackHat MEA Arsenal Lab演示提供动力的Terraform、Helm值和Kubernetes清单。该实验室展示了针对Kubernetes和基于AWS的工作负载的端到端检测和调查栈：Falco不断检查运行时信号，模型上下文协议（MCP）服务器将这些信号暴露给生成的AI副产品进行调查，Kong OSS充当AI工具、日志和统计的流量骨干。

______________________________________________________________________

为什么存在此存储库

• BlackHat MEA 2025阿森纳实验室 –提供一个有主见、可重复的环境，让游客可以亲自探索。
• 混合遥测 –Falco监视Linux系统调用、Kubernetes审计事件和AWS CloudTrail（通过Falco CT插件），因此集群和云活动都提供相同的管道。
• AI加速响应 MCP服务器为AI助手提供精心策划的API，以便人类分析师可以更快地通过Kong托管的端点进行分析。
• 默认情况下开源 从基础设施（Terraform）到人工智能网关（Kong OSS）的一切都保持透明。

______________________________________________________________________

高级体系结构

                     ┌────────────────────────────┐
                     │        AWS Cloud           │
                     │                            │
                     │  ┌──────────────────────┐  │
                     │  │  CloudTrail Service  │◀─┼─ Falco CloudTrail plugin pulls events
                     │  └──────────────────────┘  │
                     │                            │
                     │  ┌──────────────────────┐  │
                     │  │  CloudWatch Logs     │◀─┼─ Falco k8s-audit plugin streams audit logs
                     │  └──────────────────────┘  │
                     │                            │
                     │  ┌──────────────────────┐  │
                     │  │  EKS Cluster         │  │
                     │  │  • Falco DaemonSet   │◀─┼─ Syscalls + plugin feeds
                     │  │  • Falco MCP         │◀─┼─ Consumes Falco Sidekick UI API
                     │  │  • Kubernetes MCP    │◀─┼─ Calls Kubernetes API
                     │  │  • Kong Internal GW  │──┼─ /mcp/* (http-log → log receiver)
                     │  │  • Kong External GW  │──┼─ Any public ingress (optional)
                     │  │  • Open WebUI        │──┼─ Runs prompts inside cluster
                     │  │  • cert-manager      │──┼─ Let’s Encrypt TLS issuance
                     │  └──────────────────────┘  │
                     └────────────────────────────┘
                                      │
                                      │ Kong-managed MCP traffic (mirrored)
                                      ▼
                       ┌────────────────────────┐
                       │   HTTP Log Receiver    │ (in-cluster)
                       └────────────────────────┘

                       ┌────────────────────────┐
                       │   OpenAI GPT-5.1 API   │  ◀── Open WebUI calls for reasoning
                       └────────────────────────┘

• EKS集群中的Falco代理将安全发现流式传输到专用MCP服务（Falco MCP、Kubernetes MCP）。
• Falco在转发之前收集Linux系统调用、Kubernetes审计日志和AWS CloudTrail事件（通过Falco的CloudTrail插件）。
• Falco MCP和Kubernetes MCP服务器部署在同一EKS集群内，用于低延迟访问运行时数据。
• Kong OSS通过自定义插件（http日志、correlation-id）和结构化日志公开MCP端点，而Open WebUI是单独托管的，只能通过Kong管理的路由到达集群。
• AWS级别的检测（例如GuardDuty）可以通过相同的AI辅助流程进行访问，为分析师提供了一个统一的驾驶舱。

______________________________________________________________________

仓库的规划

______________________________________________________________________

关键能力

• 运行时检测 –Falco具有针对Kubernetes API滥用、容器转义和AWS错误配置的自定义规则。
• 人工智能驱动的分类 –MCP服务器向AI客户端公开精心策划的API（今天的Open WebUI），以便分析师可以提出自由形式的问题（“显示Falco在命名空间X中最后一小时的点击量”）。
• 网关可观察性 –Kong OSS终止所有AI流量，注入相关ID，并将http日志有效载荷转发给集群内接收器进行取证回放。
• 多云意识 Terraform模块涵盖了AWS VPC、NAT、EKS管理节点组、EFS和Namecheap DNS，因此您可以在几分钟内复制实验室。

______________________________________________________________________

部署工作流

该实验室仍然支持两阶段的Terraform应用程序，以避免在EKS启动时与Kubernetes提供商竞争：

1. Bootstrap EKS和依赖关系

   terraform init
   terraform apply -target=module.eks

可选： aws eks update-kubeconfig ... 证实 kubectl get nodes.

1. 展开堆栈

   terraform apply

此步骤安装Helm版本（证书管理器、Kong内部/外部、Falco、Open WebUI）以及Kubernetes清单（存储类、ClusterIssuer、Kong插件、MCP服务等）。

1. 输出

   terraform output
   terraform output -raw 

使用这些来获取端点（例如Open WebUI）和初始机密(argocd_admin_password 如果Argo CD稍后启用）。

______________________________________________________________________

Falco+MCP调查流程

1. Falco代理持续监视Linux系统调用，从CloudWatch日志（通过 k8saudit-eks 插件）并提取AWS CloudTrail异常（通过Falco CloudTrail插件）。
2. Falco MCP通过查询Falco Sidekick API来接收标准化的Falco事件；Kubernetes MCP通过Kubernetesneneneba API直接发现资源。
3. 这两个MCP服务与Falco、Open WebUI、Kong网关和证书管理器一起在同一EKS集群内运行。
4. Open WebUI通过Kong内部入口与MCP服务通信(/mcp/*).孔执行：

- correlation-id 可追溯性 - http-log 将MCP流量转发到集群内HTTP日志接收器

1. HTTP日志接收器将每个请求/响应存档，而响应通过Kong流回到Open WebUI，在那里AI副驾驶员（由OpenAI GPT-5.1支持）总结发现，突出显示爆炸半径，并建议下一步行动。

结果：安全工程师可以在Falco、集群状态和AWS上下文之间切换，而无需离开AI控制台。

______________________________________________________________________

SOC分析师工作流程

1. 从打开的WebUI提示 –SOC专家发出自然语言请求（“调查Falco最新的命名空间点击量 payments“）从集群中运行的Open WebUI实例。
2. MCP访问 –请求通过Kong的内部入口传输，该入口注入一个相关ID并将HTTP日志镜像到接收器。
3. 上下文组装 –Falco MCP查询Falco（包括CloudTrail+CloudWatch派生事件），而Kubernetes MCP则提取实时集群状态；两人都通过孔回应。
4. AI指导 Open WebUI将合并的证据转发给OpenAI GPT-5.1，接收结构化摘要（时间线、受影响的资源、补救技巧），并将其呈现给分析师。

该工作流程将所有遥测数据保存在集群中，同时提供完全可追踪的人工智能辅助调查。

打开WebUI系统提示

You are a cybersecurity AI assistant specialized in analyzing security events.

Before starting any investigation, please check all available tools first and use those for your investigation.

Your task is to:
1. Analyze Falco security events by using falco_* tools from the provided time frame.
2. After gathering initial information from Falco events, analyze potentially affected Kubernetes resources by reviewing them with kubernetes_* tools.
3. Determine if all findings above represent a real security threat.
4. Identify any patterns or correlations between events.
5. Provide a concise summary of the threat (if real). If it doesn't look dangerous, provide an honest opinion.
6. Recommend specific actions to contain and mitigate the threat.

Focus on actionable insights and be precise in your recommendations.

______________________________________________________________________

Kong OSS作为人工智能的中坚力量

• 入口类: kong-internal （ClusterIP）用于东西交通， kong-external （LoadBalancer）用于面向用户的门户，如Open WebUI。
• 插件已启用: http-log, correlation-id，用于OpenAI类型路由的自定义路由（API密钥的请求转换器等）。
• 记录和统计：内部网关将日志传送到集群内接收器(http-log-receiver)因此，我们可以在演示或调查期间回放人工智能对话。

______________________________________________________________________

快速入门

# 1. Configure AWS credentials + required TF_VAR_* secrets
aws sts get-caller-identity
export TF_VAR_letsencrypt_email="you@example.com"

# 2. Initialize + deploy
terraform init
terraform apply

# 3. Inspect Kong + Falco
kubectl get pods -n kong-internal
kubectl get pods -n falco

使用 helm-values/ 如果你需要为你的环境调整Kong、Falco或证书管理器的行为，可以将其作为起点。

______________________________________________________________________

DNS和Namecheap支持

本实验室假设DNS是通过Namecheap管理的：

• namecheap_domain_records 在 apps.tf 创建通配符CNAME（例如。， *.blackhat)这会将您的域指向外部Kong负载均衡器。
• 提供商凭据(namecheap_user_name, namecheap_api_key, namecheap_client_ip)通过Terraform变量传递，可以轻松地在您自己的Namecheap帐户中进行交换。
• 如果您在其他地方托管DNS，请删除Namecheap提供商，并用您首选的DNS自动化替换CNAME配置，但保持通配符指向Kong外部代理，以便TLS（通过证书管理器/Let's Encrypt）仍然有效。

请确保您的Namecheap帐户允许从您指定的IP访问API，并注意记录可能需要几分钟才能传播。

______________________________________________________________________

贡献/扩展

• 在下添加新的MCP服务（例如GuardDuty、Config） apps.tf 与香港航线相匹配。
• 在中删除其他Helm值 helm-values/ 并通过Terraform将它们连接起来 helm_release 资源。
• 对于新的演示（BlackHat、DEF CON、内部研讨会），请使用fork+adjust DNS、TLS或Open WebUI提示。

如果您改进了检测内容、AI工作流程或文档，请打开问题或PR。

______________________________________________________________________

联系：将问题或演示请求带到BlackHat MEA Arsenal Lab展台，或在此仓库中提交问题。