¿Quién está insistiendo?
Il Forno Veloce vende pan por internet y su servidor web está asediado: esta noche el registro de accesos se llenó de contraseñas incorrectas. No basta saber que alguien insiste, tienes que saber QUIÉN insiste más. Cuenta los intentos fallidos por dirección y decodifica el informe del atacante.
Laboratorio 2 de 6 de la ruta Blue Team / Defensa. Si te atascas tienes 3 pistas, de la más vaga a la más precisa: cuestan 0, 50 y 120 XP.
Qué aprendes
Los objetivos se completan solos mientras trabajas en el terminal; cada uno vale puntos de experiencia:
- Aislar los intentos fallidos con grep (80 XP)
- Extraer la columna de la dirección con cut (100 XP)
- Agrupar y contar con sort y uniq -c (120 XP)
- Decodificar el informe del atacante (100 XP)
Temas: defense, log, pipe, brute-force.
Los comandos que usarás
El terminal es simulado y entiende unos cuarenta comandos de Linux. En este laboratorio te servirán sobre todo estos:
cat: muestra el contenido de un archivo: la forma más directa de leer configuraciones, notas y registros.grep: busca las líneas que contienen una palabra, incluso en carpetas enteras con -r. Es la herramienta principal para analizar texto y registros.head: muestra solo las primeras líneas de un archivo, útil para entender el formato de un registro sin leerlo entero.cut: extrae una columna de cada línea eligiendo el separador, para aislar un campo concreto de un registro.sort: ordena las líneas, también en orden numérico (-n) o al revés (-r).uniq: quita las líneas repetidas seguidas y con -c las cuenta: junto con sort crea clasificaciones, como la de las direcciones más insistentes.base64: codifica y decodifica Base64, el formato que convierte bytes en texto. No protege nada: se deshace sin clave.|: la barra vertical | encadena comandos: la salida del primero se convierte en la entrada del siguiente, y así pequeñas herramientas forman un análisis completo.
El entorno simulado
Trabajas en una shell de Linux simulada, en la carpeta personal del usuario runner: archivos y carpetas inventados, ningún objetivo en red.
Además de la carpeta personal hay un sistema simulado completo, con archivos de configuración, registros, usuarios y permisos que examinar.
La lección de defensa
Con el laboratorio resuelto, el informe explica qué falló y cómo protegerse:
Con grep, cut, sort y uniq -c un registro de cientos de líneas se convierte en una clasificación: quien más insiste casi siempre está haciendo un ataque de fuerza bruta. Pero los números hay que leerlos con cuidado: un script interno con la contraseña antigua o un usuario despistado no son atacantes, y un ataque lento y disperso pasa por debajo del umbral. Defensa: limitar los intentos por dirección (rate limiting), bloquear automáticamente a quien supere el umbral con fail2ban y pasar de las contraseñas a las claves SSH.
Antes y después de este laboratorio
Para abrirlo debes haber resuelto:
- Leer un registro de accesos (Blue Team / Defensa, fácil)
- Tuberías y filtros (Fundamentos de Linux, medio)
Después de este laboratorio puedes pasar a:
- Cronología de un incidente (Blue Team / Defensa, medio)
La ruta Blue Team / Defensa
Blue Team / Defensa es la ruta de quien protege. Lees los registros de acceso, cuentas los intentos fallidos para descubrir quién está forzando un inicio de sesión, reconstruyes la cronología de un incidente, comparas una configuración SSH con la recomendada, cierras los servicios inútiles y gestionas una respuesta a incidentes en cuatro tiempos: detectar, contener, limpiar, documentar. Los comandos son los mismos de las otras rutas, pero usados con los ojos de quien debe entender qué pasó e impedir que vuelva a pasar.