Lire un journal d'accès
Première garde de nuit à la Papeterie Bianchi. Le serveur des bureaux garde un journal de qui se connecte (auth.log, dans /var/log) et cette nuit quelqu'un a tenté de forcer l'accès. Lis le journal, repère qui échoue sans cesse sans jamais entrer et décode son signalement.
Laboratoire 1 sur 6 du parcours Blue Team / Défense. Si tu bloques, tu as 3 indices, du plus vague au plus précis : ils coûtent 0, 40 et 100 XP.
Ce que tu apprends
Les objectifs se valident tout seuls pendant que tu travailles dans le terminal ; chacun rapporte des points d’expérience :
- Lire le journal d'accès (auth.log) (50 XP)
- Filtrer les lignes « Failed » avec grep (80 XP)
- Décoder le signalement de l'adresse suspecte (70 XP)
Thèmes : defense, log, grep.
Les commandes que tu utiliseras
Le terminal est simulé et comprend une quarantaine de commandes Linux. Dans ce laboratoire, tu auras surtout besoin de celles-ci :
cat: affiche le contenu d’un fichier : la façon la plus directe de lire configurations, notes et journaux.grep: cherche les lignes qui contiennent un mot, même dans des dossiers entiers avec -r. C’est l’outil principal pour analyser du texte et des journaux.base64: encode et décode le Base64, le format qui transforme des octets en texte. Il ne protège rien : il s’annule sans clé.
L’environnement simulé
Tu travailles dans un shell Linux simulé, dans le dossier personnel de l'utilisateur runner : fichiers et dossiers imaginaires, aucune cible réseau.
En plus du dossier personnel, il y a un système simulé complet, avec des fichiers de configuration, des journaux, des utilisateurs et des permissions à examiner.
La leçon de défense
Une fois le laboratoire résolu, le compte rendu explique ce qui a mal tourné et comment se protéger :
Un journal dit qui a fait quoi et quand : la première défense est de savoir le lire. Les lignes « Failed » et « Invalid user » montrent les tentatives ratées ; un collègue qui se trompe une fois puis entre, c'est normal, une adresse qui essaie plein de noms différents sans jamais entrer mène une attaque par dictionnaire. Une erreur isolée n'est pas une alarme, la répétition si. Défense : lire les journaux chaque jour (ou se faire alerter par un outil), surveiller les échecs et bloquer les adresses qui insistent.
Avant et après ce laboratoire
Pour l’ouvrir, tu dois avoir résolu :
- Lire par morceaux (Bases de Linux, facile)
Après ce laboratoire, tu peux passer à :
- Qui insiste ? (Blue Team / Défense, moyen)
- Durcir SSH (Blue Team / Défense, moyen)
Le parcours Blue Team / Défense
Blue Team / Défense est le parcours de ceux qui protègent. Tu lis les journaux d'accès, tu comptes les tentatives échouées pour découvrir qui force une connexion, tu reconstruis la chronologie d'un incident, tu compares une configuration SSH avec celle recommandée, tu fermes les services inutiles et tu mènes une réponse à incident en quatre temps : détecter, contenir, nettoyer, documenter. Les commandes sont les mêmes que dans les autres parcours, mais vues avec les yeux de qui doit comprendre ce qui s'est passé et empêcher que cela recommence.