Lernpfad Blue Team / Verteidigung
Blue Team / Verteidigung ist der Lernpfad derer, die schützen. Du liest Zugriffslogs, zählst fehlgeschlagene Versuche, um herauszufinden, wer eine Anmeldung erzwingen will, rekonstruierst den zeitlichen Ablauf eines Vorfalls, vergleichst eine SSH-Konfiguration mit der empfohlenen, schaltest unnötige Dienste ab und führst eine Reaktion auf einen Vorfall in vier Schritten: erkennen, eindämmen, bereinigen, dokumentieren. Die Befehle sind dieselben wie in den anderen Lernpfaden, aber mit den Augen dessen benutzt, der verstehen muss, was passiert ist, und verhindern muss, dass es wieder passiert.
Die Labore der Reihe nach
- Ein Zugriffsprotokoll lesen
leicht · 300 XP
Erste Nachtschicht in der Schreibwarenhandlung Bianchi. Der Büroserver führt Protokoll darüber, wer sich anmeldet (auth.log, in /var/log), und in der Nacht hat jemand versucht, sich Zugang zu erzwingen. Lies das Protokoll, finde heraus, wer immer wieder scheitert, ohne je hineinzukommen, und dekodiere seine Meldung.
Voraussetzung: In Stücken lesen.
- Wer drängt da?
mittel · 600 XP
Il Forno Veloce verkauft Brot online und sein Webserver steht unter Belagerung: In der Nacht hat sich das Zugriffsprotokoll mit falschen Passwörtern gefüllt. Es reicht nicht zu wissen, dass jemand drängt, du musst wissen, WER am meisten drängt. Zähle die Fehlversuche pro Adresse und dekodiere die Meldung des Angreifers.
Voraussetzung: Ein Zugriffsprotokoll lesen und Pipes und Filter.
- Chronologie eines Vorfalls
mittel · 600 XP
Gestern haben wir 203.0.113.77 gemeldet; heute entdeckt Il Forno Veloce, dass Daten den Server verlassen haben. Rekonstruiere die Chronologie über auth.log und access.log: Um wie viel Uhr genau ist der Angreifer nach den Fehlversuchen zum ersten Mal HINEINGEKOMMEN? Die Berichte heißen nach der Uhrzeit des Ereignisses.
Voraussetzung: Wer drängt da?.
- SSH härten
mittel · 600 XP
Nach dem jüngsten Ärger will die Schreibwarenhandlung Bianchi ein robusteres SSH. Auf dem Server liegen die verwendete Konfiguration und, irgendwo, die vom Hersteller empfohlene. Vergleiche sie: Wie viele Einstellungen sind zu schwach? Die richtige Zahl verweist auf den Audit-Bericht, den du dekodieren musst.
Voraussetzung: Ein Zugriffsprotokoll lesen und Dateien finden.
- Unnötige Ports schließen
mittel · 600 XP
Der Server des Magazzino Verdi „hat schon immer so funktioniert“. Je mehr Dienste lauschen, desto mehr Türen gibt es, an die jemand klopfen kann. Finde heraus, was auf dieser Maschine offen ist, vergleiche es mit dem Inventar der erlaubten Dienste und hör dir an, was der Dienst sagt, der nicht da sein sollte.
Voraussetzung: Dienst-Banner und SSH härten.
- Reaktion auf einen Vorfall
schwer · 1000 XP
Ortofrutta Rossi, letzte Nacht: Jemand ist in den Verwaltungsserver eingedrungen. Zu verstehen, was passiert ist, genügt nicht, es braucht ein Vorgehen in vier Schritten. Erkenne den Angriff in den Logs, finde heraus, wer wirklich hineingekommen ist und mit welchem Konto, spüre auf, was der Eindringling zurückgelassen hat, um wiederzukommen, und dokumentiere alles im richtigen Bericht.
Voraussetzung: Chronologie eines Vorfalls, Unnötige Ports schließen und Programme mit dem SUID-Bit.
Die Befehle dieses Lernpfads
Auf diesem Lernpfad verwendest du im simulierten Terminal diese Befehle: cat, grep, base64, head, cut, sort, uniq, ls, find, diff, wc, nmap, nc und tail. Jede Laborseite erklärt, wofür sie gut sind.
Mehr in den Guides (auf Englisch)
Die anderen Lernpfade
- Linux-Grundlagen – Shell, Dateien, Filter, Rechte
- Kodierungen & Geheimnisse – Base64, Hex, Chiffren
- Recon & Scanning – Nmap, Banner, DNS, Enumeration
- Web Exploitation – Versteckte Ordner, Cookies, Zugänge
- Privilege Escalation – Von user zu root