Leer un registro de accesos
Primer turno de guardia en la Papelería Bianchi. El servidor de las oficinas guarda un registro de quién entra (auth.log, en /var/log) y esta noche alguien ha intentado forzar el acceso. Lee el registro, averigua quién falla una y otra vez sin llegar a entrar y decodifica su informe.
Laboratorio 1 de 6 de la ruta Blue Team / Defensa. Si te atascas tienes 3 pistas, de la más vaga a la más precisa: cuestan 0, 40 y 100 XP.
Qué aprendes
Los objetivos se completan solos mientras trabajas en el terminal; cada uno vale puntos de experiencia:
- Leer el registro de accesos (auth.log) (50 XP)
- Filtrar las líneas «Failed» con grep (80 XP)
- Decodificar el informe de la dirección sospechosa (70 XP)
Temas: defense, log, grep.
Los comandos que usarás
El terminal es simulado y entiende unos cuarenta comandos de Linux. En este laboratorio te servirán sobre todo estos:
cat: muestra el contenido de un archivo: la forma más directa de leer configuraciones, notas y registros.grep: busca las líneas que contienen una palabra, incluso en carpetas enteras con -r. Es la herramienta principal para analizar texto y registros.base64: codifica y decodifica Base64, el formato que convierte bytes en texto. No protege nada: se deshace sin clave.
El entorno simulado
Trabajas en una shell de Linux simulada, en la carpeta personal del usuario runner: archivos y carpetas inventados, ningún objetivo en red.
Además de la carpeta personal hay un sistema simulado completo, con archivos de configuración, registros, usuarios y permisos que examinar.
La lección de defensa
Con el laboratorio resuelto, el informe explica qué falló y cómo protegerse:
Un registro cuenta quién hizo qué y cuándo: la primera defensa es saber leerlo. Las líneas «Failed» e «Invalid user» muestran los intentos fallidos; un compañero que se equivoca una vez y luego entra es normal, una dirección que prueba muchos nombres distintos y nunca entra está haciendo un ataque de diccionario. Un error aislado no es una alarma, la repetición sí. Defensa: leer los registros cada día (o que una herramienta avise), vigilar los intentos fallidos y bloquear las direcciones que insisten.
Antes y después de este laboratorio
Para abrirlo debes haber resuelto:
- Leer por partes (Fundamentos de Linux, fácil)
Después de este laboratorio puedes pasar a:
- ¿Quién está insistiendo? (Blue Team / Defensa, medio)
- Endurecer SSH (Blue Team / Defensa, medio)
La ruta Blue Team / Defensa
Blue Team / Defensa es la ruta de quien protege. Lees los registros de acceso, cuentas los intentos fallidos para descubrir quién está forzando un inicio de sesión, reconstruyes la cronología de un incidente, comparas una configuración SSH con la recomendada, cierras los servicios inútiles y gestionas una respuesta a incidentes en cuatro tiempos: detectar, contener, limpiar, documentar. Los comandos son los mismos de las otras rutas, pero usados con los ojos de quien debe entender qué pasó e impedir que vuelva a pasar.