Chronologie eines Vorfalls
Gestern haben wir 203.0.113.77 gemeldet; heute entdeckt Il Forno Veloce, dass Daten den Server verlassen haben. Rekonstruiere die Chronologie über auth.log und access.log: Um wie viel Uhr genau ist der Angreifer nach den Fehlversuchen zum ersten Mal HINEINGEKOMMEN? Die Berichte heißen nach der Uhrzeit des Ereignisses.
Labor 3 von 6 im Lernpfad Blue Team / Verteidigung. Wenn du feststeckst, hast du 3 Hinweise, vom vagesten bis zum genauesten: Sie kosten 0, 50 und 120 XP.
Was du lernst
Die Ziele erfüllen sich von selbst, während du im Terminal arbeitest; jedes bringt Erfahrungspunkte:
- Den Angreifer im SSH-Protokoll verfolgen (grep auf die Adresse) (80 XP)
- Die erfolgreichen Anmeldungen isolieren (Accepted) (100 XP)
- Sehen, was er auf der Website getan hat (access.log) (100 XP)
- Den Bericht der richtigen Uhrzeit dekodieren (120 XP)
Themen: defense, log, incidente, cronologia.
Die Befehle, die du brauchst
Das Terminal ist simuliert und versteht etwa vierzig Linux-Befehle. In diesem Labor brauchst du vor allem diese:
cat: gibt den Inhalt einer Datei aus: der direkteste Weg, Konfigurationen, Notizen und Logs zu lesen.grep: findet die Zeilen, die ein Wort enthalten, mit -r auch in ganzen Ordnern. Es ist das wichtigste Werkzeug, um Text und Logs zu analysieren.ls: listet die Dateien eines Ordners auf; mit -l zeigt er Rechte und Besitzer, mit -a auch versteckte Dateien. Es ist der erste Befehl auf jeder Maschine.base64: kodiert und dekodiert Base64, das Format, das Bytes in Text verwandelt. Es schützt nichts: Es lässt sich ohne Schlüssel rückgängig machen.|: der senkrechte Strich | verkettet Befehle: Die Ausgabe des ersten wird zur Eingabe des nächsten, so werden kleine Werkzeuge zu einer vollständigen Analyse.
Die simulierte Umgebung
Du arbeitest in einer simulierten Linux-Shell, im Home-Verzeichnis des Benutzers runner: erfundene Dateien und Ordner, kein Ziel im Netzwerk.
Neben dem Home-Verzeichnis gibt es ein vollständiges simuliertes System mit Konfigurationsdateien, Logs, Benutzern und Rechten, die du untersuchst.
Die Lektion zur Abwehr
Ist das Labor gelöst, erklärt der Bericht, was schiefging und wie man sich schützt:
Einen Vorfall zu rekonstruieren heißt, die Fakten aufzureihen: Scan der Website, Schwall falscher Passwörter, erste erfolgreiche Anmeldung, ausgeführte Befehle, heruntergeladene Daten. Ein grep auf eine einzelne Adresse und ein zweites grep auf „Accepted“ isolieren den Moment des Eindringens; im Abgleich mit access.log sieht man, was berührt wurde. Damit das Bild verlässlich ist, müssen die Serveruhren synchronisiert sein (NTP) und die Logs auch woanders aufbewahrt werden. Verteidigung: Alarm, wenn auf viele Fehlversuche ein Erfolg folgt, Schlüssel statt Passwörter, minimale Rechte für das Dienstkonto und Datenbank-Zugangsdaten außerhalb der Reichweite normaler Benutzer.
Vor und nach diesem Labor
Um es zu öffnen, musst du gelöst haben:
- Wer drängt da? (Blue Team / Verteidigung, mittel)
Nach diesem Labor kannst du weitermachen mit:
- Reaktion auf einen Vorfall (Blue Team / Verteidigung, schwer)
Der Lernpfad Blue Team / Verteidigung
Blue Team / Verteidigung ist der Lernpfad derer, die schützen. Du liest Zugriffslogs, zählst fehlgeschlagene Versuche, um herauszufinden, wer eine Anmeldung erzwingen will, rekonstruierst den zeitlichen Ablauf eines Vorfalls, vergleichst eine SSH-Konfiguration mit der empfohlenen, schaltest unnötige Dienste ab und führst eine Reaktion auf einen Vorfall in vier Schritten: erkennen, eindämmen, bereinigen, dokumentieren. Die Befehle sind dieselben wie in den anderen Lernpfaden, aber mit den Augen dessen benutzt, der verstehen muss, was passiert ist, und verhindern muss, dass es wieder passiert.