Saltar al contenido
PURPLEDUEL

Ruta Blue Team / Defensa

6 laboratorios · Logs, incidentes, hardening

Blue Team / Defensa es la ruta de quien protege. Lees los registros de acceso, cuentas los intentos fallidos para descubrir quién está forzando un inicio de sesión, reconstruyes la cronología de un incidente, comparas una configuración SSH con la recomendada, cierras los servicios inútiles y gestionas una respuesta a incidentes en cuatro tiempos: detectar, contener, limpiar, documentar. Los comandos son los mismos de las otras rutas, pero usados con los ojos de quien debe entender qué pasó e impedir que vuelva a pasar.

Los laboratorios, en orden

  1. Leer un registro de accesos

    fácil · 300 XP

    Primer turno de guardia en la Papelería Bianchi. El servidor de las oficinas guarda un registro de quién entra (auth.log, en /var/log) y esta noche alguien ha intentado forzar el acceso. Lee el registro, averigua quién falla una y otra vez sin llegar a entrar y decodifica su informe.

    Requiere: Leer por partes.

  2. ¿Quién está insistiendo?

    medio · 600 XP

    Il Forno Veloce vende pan por internet y su servidor web está asediado: esta noche el registro de accesos se llenó de contraseñas incorrectas. No basta saber que alguien insiste, tienes que saber QUIÉN insiste más. Cuenta los intentos fallidos por dirección y decodifica el informe del atacante.

    Requiere: Leer un registro de accesos y Tuberías y filtros.

  3. Cronología de un incidente

    medio · 600 XP

    Ayer señalamos 203.0.113.77; hoy Il Forno Veloce descubre que han salido datos del servidor. Reconstruye la cronología entre auth.log y access.log: ¿a qué hora exacta ENTRÓ el atacante por primera vez después de los intentos fallidos? Los informes se llaman con la hora del evento.

    Requiere: ¿Quién está insistiendo?.

  4. Endurecer SSH

    medio · 600 XP

    Tras los últimos problemas, la Papelería Bianchi quiere un SSH más robusto. En el servidor está la configuración en uso y, en algún sitio, la recomendada por el fabricante. Compáralas: ¿cuántos ajustes son demasiado débiles? El número correcto indica el informe de auditoría que hay que decodificar.

    Requiere: Leer un registro de accesos y Encontrar archivos.

  5. Cerrar los puertos innecesarios

    medio · 600 XP

    El servidor del Magazzino Verdi «siempre ha funcionado así». Cuantos más servicios escuchan, a más puertas puede llamar alguien. Descubre qué está abierto en esta máquina, compáralo con el inventario de servicios autorizados y ve a escuchar qué dice el servicio que no debería estar.

    Requiere: Banners de los servicios y Endurecer SSH.

  6. Respuesta a un incidente

    difícil · 1000 XP

    Ortofrutta Rossi, esta noche: alguien ha entrado en el servidor de gestión. No basta entender qué ha pasado, hace falta una intervención en cuatro tiempos. Detecta el ataque en los registros, identifica quién entró de verdad y con qué cuenta, encuentra lo que el intruso dejó para volver y documenta todo en el informe correcto.

    Requiere: Cronología de un incidente, Cerrar los puertos innecesarios y Ejecutables con el bit SUID.

Los comandos de la ruta

A lo largo de la ruta el terminal simulado te hace usar estos comandos: cat, grep, base64, head, cut, sort, uniq, ls, find, diff, wc, nmap, nc y tail. Cada página de laboratorio explica para qué sirven.

Profundiza con las guías (en inglés)

Todas las guías (en inglés)

Las otras rutas

Los laboratorios de PurpleDuel