Reaktion auf einen Vorfall
Ortofrutta Rossi, letzte Nacht: Jemand ist in den Verwaltungsserver eingedrungen. Zu verstehen, was passiert ist, genügt nicht, es braucht ein Vorgehen in vier Schritten. Erkenne den Angriff in den Logs, finde heraus, wer wirklich hineingekommen ist und mit welchem Konto, spüre auf, was der Eindringling zurückgelassen hat, um wiederzukommen, und dokumentiere alles im richtigen Bericht.
Labor 6 von 6 im Lernpfad Blue Team / Verteidigung. Wenn du feststeckst, hast du 3 Hinweise, vom vagesten bis zum genauesten: Sie kosten 0, 60 und 150 XP.
Was du lernst
Die Ziele erfüllen sich von selbst, während du im Terminal arbeitest; jedes bringt Erfahrungspunkte:
- ERKENNEN: die Fehlversuche im Protokoll finden (grep Failed) (150 XP)
- EINDÄMMEN: die erfolgreiche Anmeldung von außen finden (200 XP)
- BEREINIGEN: die SUID-Programme auflisten (find -perm -4000) (200 XP)
- DOKUMENTIEREN: den Bericht mit den drei richtigen Angaben dekodieren (150 XP)
Themen: defense, incident-response, log, suid.
Die Befehle, die du brauchst
Das Terminal ist simuliert und versteht etwa vierzig Linux-Befehle. In diesem Labor brauchst du vor allem diese:
cat: gibt den Inhalt einer Datei aus: der direkteste Weg, Konfigurationen, Notizen und Logs zu lesen.grep: findet die Zeilen, die ein Wort enthalten, mit -r auch in ganzen Ordnern. Es ist das wichtigste Werkzeug, um Text und Logs zu analysieren.cut: schneidet aus jeder Zeile eine Spalte mit einem gewählten Trennzeichen heraus, um ein bestimmtes Feld eines Logs zu isolieren.sort: sortiert Zeilen, auch numerisch (-n) oder umgekehrt (-r).uniq: entfernt direkt aufeinanderfolgende doppelte Zeilen und zählt sie mit -c: Zusammen mit sort entstehen Ranglisten, etwa der hartnäckigsten Adressen.head: zeigt nur die ersten Zeilen einer Datei, praktisch, um das Format eines Logs zu verstehen, ohne alles zu lesen.tail: zeigt die letzten Zeilen einer Datei, also die neuesten Ereignisse eines Logs.find: sucht Dateien nach Name, Typ oder Rechten in einem ganzen Verzeichnisbaum; bei einem Audit findet er Schlüssel, vergessene Kopien und Programme mit gefährlichen Rechten.ls: listet die Dateien eines Ordners auf; mit -l zeigt er Rechte und Besitzer, mit -a auch versteckte Dateien. Es ist der erste Befehl auf jeder Maschine.base64: kodiert und dekodiert Base64, das Format, das Bytes in Text verwandelt. Es schützt nichts: Es lässt sich ohne Schlüssel rückgängig machen.|: der senkrechte Strich | verkettet Befehle: Die Ausgabe des ersten wird zur Eingabe des nächsten, so werden kleine Werkzeuge zu einer vollständigen Analyse.
Die simulierte Umgebung
Du arbeitest in einer simulierten Linux-Shell, im Home-Verzeichnis des Benutzers runner: erfundene Dateien und Ordner, kein Ziel im Netzwerk.
Neben dem Home-Verzeichnis gibt es ein vollständiges simuliertes System mit Konfigurationsdateien, Logs, Benutzern und Rechten, die du untersuchst.
Die Lektion zur Abwehr
Ist das Labor gelöst, erklärt der Bericht, was schiefging und wie man sich schützt:
Ein Vorfall wird in vier Schritten behandelt: erkennen (die Logs zeigen den Angriff), eindämmen (wer wirklich hineingekommen ist, mit welchem Konto: nicht immer der Lauteste), bereinigen (zusätzliche SUID-Programme, geplante Aufgaben, neue Schlüssel und Konten: alles, womit der Eindringling zurückkehren kann) und dokumentieren (was passiert ist, was berührt wurde, was getan wurde). Die Ursachen sind zwei: ein schwaches Passwort auf einem Dienstkonto und eine zu weit gefasste sudo-Regel. Verteidigung: Schlüssel statt Passwörter, minimale Rechte für Dienstkonten, Netzwerksegmentierung (das Backup darf nicht überall hinkommen), regelmäßige Prüfung von SUID und cron, Logs an einen getrennten Server senden.
Vor und nach diesem Labor
Um es zu öffnen, musst du gelöst haben:
- Chronologie eines Vorfalls (Blue Team / Verteidigung, mittel)
- Unnötige Ports schließen (Blue Team / Verteidigung, mittel)
- Programme mit dem SUID-Bit (Privilege Escalation, mittel)
Es ist eines der letzten Labore: Kein anderes Labor setzt es voraus.
Der Lernpfad Blue Team / Verteidigung
Blue Team / Verteidigung ist der Lernpfad derer, die schützen. Du liest Zugriffslogs, zählst fehlgeschlagene Versuche, um herauszufinden, wer eine Anmeldung erzwingen will, rekonstruierst den zeitlichen Ablauf eines Vorfalls, vergleichst eine SSH-Konfiguration mit der empfohlenen, schaltest unnötige Dienste ab und führst eine Reaktion auf einen Vorfall in vier Schritten: erkennen, eindämmen, bereinigen, dokumentieren. Die Befehle sind dieselben wie in den anderen Lernpfaden, aber mit den Augen dessen benutzt, der verstehen muss, was passiert ist, und verhindern muss, dass es wieder passiert.