Unnötige Ports schließen
Der Server des Magazzino Verdi „hat schon immer so funktioniert“. Je mehr Dienste lauschen, desto mehr Türen gibt es, an die jemand klopfen kann. Finde heraus, was auf dieser Maschine offen ist, vergleiche es mit dem Inventar der erlaubten Dienste und hör dir an, was der Dienst sagt, der nicht da sein sollte.
Labor 5 von 6 im Lernpfad Blue Team / Verteidigung. Wenn du feststeckst, hast du 3 Hinweise, vom vagesten bis zum genauesten: Sie kosten 0, 40 und 100 XP.
Was du lernst
Die Ziele erfüllen sich von selbst, während du im Terminal arbeitest; jedes bringt Erfahrungspunkte:
- Die offenen Ports mit nmap scannen (80 XP)
- Das Inventar der erlaubten Dienste lesen (80 XP)
- Finden, wo der Klartext-Dienst konfiguriert ist (grep -r) (100 XP)
- Den Banner des vergessenen Dienstes lesen (nc) (140 XP)
Themen: defense, hardening, nmap, superficie.
Die Befehle, die du brauchst
Das Terminal ist simuliert und versteht etwa vierzig Linux-Befehle. In diesem Labor brauchst du vor allem diese:
cat: gibt den Inhalt einer Datei aus: der direkteste Weg, Konfigurationen, Notizen und Logs zu lesen.nmap: entdeckt die aktiven Hosts eines Netzwerks und die offenen Ports einer Maschine, mit Diensten und Versionen. Die Verteidigung nutzt ihn, um das echte Netzwerk mit dem Inventar zu vergleichen.grep: findet die Zeilen, die ein Wort enthalten, mit -r auch in ganzen Ordnern. Es ist das wichtigste Werkzeug, um Text und Logs zu analysieren.nc: netcat öffnet eine rohe Verbindung zu einem Port und zeigt, was der Dienst antwortet, einschließlich seiner Begrüßung (Banner).
Die simulierte Umgebung
Du arbeitest in einer simulierten Linux-Shell, im Home-Verzeichnis des Benutzers runner: erfundene Dateien und Ordner, kein Ziel im Netzwerk.
Neben dem Home-Verzeichnis gibt es ein vollständiges simuliertes System mit Konfigurationsdateien, Logs, Benutzern und Rechten, die du untersuchst.
Auf der Maschine laufen außerdem lokale Dienste:
- FTP: die alte Dateiübertragung, die Zugangsdaten und Daten im Klartext sendet; heute ersetzt man sie durch SFTP.
- SSH: der verschlüsselte Fernzugang zur Befehlszeile; man schützt ihn mit Schlüsseln statt Passwörtern und ohne direkte root-Anmeldung.
- Web (HTTP): ein Webserver mit Seiten, APIs oder Verwaltungsoberflächen: der am stärksten exponierte Teil fast jeder Organisation.
- Telnet: der Fernzugang ohne Verschlüsselung: Passwörter und Befehle reisen im Klartext, und jeder im Netzwerk kann sie mitlesen.
- Datenbank: eine Datenbank (MySQL, MariaDB oder PostgreSQL), die nur den Diensten antworten sollte, die sie nutzen, und nie dem ganzen Netzwerk.
Die Lektion zur Abwehr
Ist das Labor gelöst, erklärt der Bericht, was schiefging und wie man sich schützt:
Jeder lauschende Dienst ist Angriffsfläche: Er muss begründet oder abgeschaltet werden. Ein Inventar der erlaubten Dienste (und ein regelmäßiges nmap, um es mit der Wirklichkeit zu vergleichen) bringt die Versäumnisse ans Licht: ein altes Telnet auf einem ungewöhnlichen Port, ein durch SFTP abgelöstes FTP, eine Datenbank, die dem ganzen Netz statt nur 127.0.0.1 offensteht. Telnet und FTP senden Passwörter im Klartext: Jeder im Netz kann sie lesen. Verteidigung: abschalten, was nicht gebraucht wird, interne Dienste nur auf localhost lauschen lassen, Ports mit einer Firewall filtern und Banner entfernen, die zu viel verraten.
Vor und nach diesem Labor
Um es zu öffnen, musst du gelöst haben:
- Dienst-Banner (Recon & Scanning, leicht)
- SSH härten (Blue Team / Verteidigung, mittel)
Nach diesem Labor kannst du weitermachen mit:
- Reaktion auf einen Vorfall (Blue Team / Verteidigung, schwer)
Der Lernpfad Blue Team / Verteidigung
Blue Team / Verteidigung ist der Lernpfad derer, die schützen. Du liest Zugriffslogs, zählst fehlgeschlagene Versuche, um herauszufinden, wer eine Anmeldung erzwingen will, rekonstruierst den zeitlichen Ablauf eines Vorfalls, vergleichst eine SSH-Konfiguration mit der empfohlenen, schaltest unnötige Dienste ab und führst eine Reaktion auf einen Vorfall in vier Schritten: erkennen, eindämmen, bereinigen, dokumentieren. Die Befehle sind dieselben wie in den anderen Lernpfaden, aber mit den Augen dessen benutzt, der verstehen muss, was passiert ist, und verhindern muss, dass es wieder passiert.