Ein Zugriffsprotokoll lesen
Erste Nachtschicht in der Schreibwarenhandlung Bianchi. Der Büroserver führt Protokoll darüber, wer sich anmeldet (auth.log, in /var/log), und in der Nacht hat jemand versucht, sich Zugang zu erzwingen. Lies das Protokoll, finde heraus, wer immer wieder scheitert, ohne je hineinzukommen, und dekodiere seine Meldung.
Labor 1 von 6 im Lernpfad Blue Team / Verteidigung. Wenn du feststeckst, hast du 3 Hinweise, vom vagesten bis zum genauesten: Sie kosten 0, 40 und 100 XP.
Was du lernst
Die Ziele erfüllen sich von selbst, während du im Terminal arbeitest; jedes bringt Erfahrungspunkte:
- Das Zugriffsprotokoll lesen (auth.log) (50 XP)
- Die „Failed“-Zeilen mit grep filtern (80 XP)
- Die Meldung der verdächtigen Adresse dekodieren (70 XP)
Themen: defense, log, grep.
Die Befehle, die du brauchst
Das Terminal ist simuliert und versteht etwa vierzig Linux-Befehle. In diesem Labor brauchst du vor allem diese:
cat: gibt den Inhalt einer Datei aus: der direkteste Weg, Konfigurationen, Notizen und Logs zu lesen.grep: findet die Zeilen, die ein Wort enthalten, mit -r auch in ganzen Ordnern. Es ist das wichtigste Werkzeug, um Text und Logs zu analysieren.base64: kodiert und dekodiert Base64, das Format, das Bytes in Text verwandelt. Es schützt nichts: Es lässt sich ohne Schlüssel rückgängig machen.
Die simulierte Umgebung
Du arbeitest in einer simulierten Linux-Shell, im Home-Verzeichnis des Benutzers runner: erfundene Dateien und Ordner, kein Ziel im Netzwerk.
Neben dem Home-Verzeichnis gibt es ein vollständiges simuliertes System mit Konfigurationsdateien, Logs, Benutzern und Rechten, die du untersuchst.
Die Lektion zur Abwehr
Ist das Labor gelöst, erklärt der Bericht, was schiefging und wie man sich schützt:
Ein Protokoll erzählt, wer was wann getan hat: Die erste Verteidigung ist, es lesen zu können. Die Zeilen „Failed“ und „Invalid user“ zeigen die gescheiterten Versuche; ein Kollege, der sich einmal vertippt und dann hineinkommt, ist normal, eine Adresse, die viele verschiedene Namen probiert und nie hineinkommt, führt einen Wörterbuchangriff durch. Ein einzelner Fehler ist kein Alarm, die Wiederholung schon. Verteidigung: die Logs täglich lesen (oder sich von einem Werkzeug warnen lassen), Fehlversuche im Auge behalten und Adressen sperren, die nicht aufgeben.
Vor und nach diesem Labor
Um es zu öffnen, musst du gelöst haben:
- In Stücken lesen (Linux-Grundlagen, leicht)
Nach diesem Labor kannst du weitermachen mit:
- Wer drängt da? (Blue Team / Verteidigung, mittel)
- SSH härten (Blue Team / Verteidigung, mittel)
Der Lernpfad Blue Team / Verteidigung
Blue Team / Verteidigung ist der Lernpfad derer, die schützen. Du liest Zugriffslogs, zählst fehlgeschlagene Versuche, um herauszufinden, wer eine Anmeldung erzwingen will, rekonstruierst den zeitlichen Ablauf eines Vorfalls, vergleichst eine SSH-Konfiguration mit der empfohlenen, schaltest unnötige Dienste ab und führst eine Reaktion auf einen Vorfall in vier Schritten: erkennen, eindämmen, bereinigen, dokumentieren. Die Befehle sind dieselben wie in den anderen Lernpfaden, aber mit den Augen dessen benutzt, der verstehen muss, was passiert ist, und verhindern muss, dass es wieder passiert.