Cronología de un incidente
Ayer señalamos 203.0.113.77; hoy Il Forno Veloce descubre que han salido datos del servidor. Reconstruye la cronología entre auth.log y access.log: ¿a qué hora exacta ENTRÓ el atacante por primera vez después de los intentos fallidos? Los informes se llaman con la hora del evento.
Laboratorio 3 de 6 de la ruta Blue Team / Defensa. Si te atascas tienes 3 pistas, de la más vaga a la más precisa: cuestan 0, 50 y 120 XP.
Qué aprendes
Los objetivos se completan solos mientras trabajas en el terminal; cada uno vale puntos de experiencia:
- Seguir al atacante en el registro SSH (grep de la dirección) (80 XP)
- Aislar los accesos correctos (Accepted) (100 XP)
- Ver qué hizo en el sitio (access.log) (100 XP)
- Decodificar el informe de la hora correcta (120 XP)
Temas: defense, log, incidente, cronologia.
Los comandos que usarás
El terminal es simulado y entiende unos cuarenta comandos de Linux. En este laboratorio te servirán sobre todo estos:
cat: muestra el contenido de un archivo: la forma más directa de leer configuraciones, notas y registros.grep: busca las líneas que contienen una palabra, incluso en carpetas enteras con -r. Es la herramienta principal para analizar texto y registros.ls: lista los archivos de una carpeta; con -l muestra permisos y propietarios, con -a también los archivos ocultos. Es el primer comando en cualquier máquina.base64: codifica y decodifica Base64, el formato que convierte bytes en texto. No protege nada: se deshace sin clave.|: la barra vertical | encadena comandos: la salida del primero se convierte en la entrada del siguiente, y así pequeñas herramientas forman un análisis completo.
El entorno simulado
Trabajas en una shell de Linux simulada, en la carpeta personal del usuario runner: archivos y carpetas inventados, ningún objetivo en red.
Además de la carpeta personal hay un sistema simulado completo, con archivos de configuración, registros, usuarios y permisos que examinar.
La lección de defensa
Con el laboratorio resuelto, el informe explica qué falló y cómo protegerse:
Reconstruir un incidente es poner los hechos en fila: escaneo del sitio, ráfaga de contraseñas incorrectas, primer acceso correcto, comandos ejecutados, datos descargados. Un grep sobre una sola dirección y un segundo grep sobre «Accepted» aíslan el momento de la entrada; cruzando access.log se ve qué se tocó. Para que el cuadro sea fiable, los relojes de los servidores deben estar sincronizados (NTP) y los registros guardados también en otro sitio. Defensa: alarma cuando tras muchos fallos llega un éxito, claves en lugar de contraseñas, privilegios mínimos para la cuenta de servicio y credenciales de la base de datos fuera del alcance de los usuarios normales.
Antes y después de este laboratorio
Para abrirlo debes haber resuelto:
- ¿Quién está insistiendo? (Blue Team / Defensa, medio)
Después de este laboratorio puedes pasar a:
- Respuesta a un incidente (Blue Team / Defensa, difícil)
La ruta Blue Team / Defensa
Blue Team / Defensa es la ruta de quien protege. Lees los registros de acceso, cuentas los intentos fallidos para descubrir quién está forzando un inicio de sesión, reconstruyes la cronología de un incidente, comparas una configuración SSH con la recomendada, cierras los servicios inútiles y gestionas una respuesta a incidentes en cuatro tiempos: detectar, contener, limpiar, documentar. Los comandos son los mismos de las otras rutas, pero usados con los ojos de quien debe entender qué pasó e impedir que vuelva a pasar.