Chronologie d'un incident
Hier nous avons signalé 203.0.113.77 ; aujourd'hui Il Forno Veloce découvre que des données ont quitté le serveur. Reconstitue la chronologie entre auth.log et access.log : à quelle heure exacte l'attaquant est-il ENTRÉ pour la première fois après les tentatives échouées ? Les rapports portent l'heure de l'événement.
Laboratoire 3 sur 6 du parcours Blue Team / Défense. Si tu bloques, tu as 3 indices, du plus vague au plus précis : ils coûtent 0, 50 et 120 XP.
Ce que tu apprends
Les objectifs se valident tout seuls pendant que tu travailles dans le terminal ; chacun rapporte des points d’expérience :
- Suivre l'attaquant dans le journal SSH (grep de l'adresse) (80 XP)
- Isoler les connexions réussies (Accepted) (100 XP)
- Voir ce qu'il a fait sur le site (access.log) (100 XP)
- Décoder le rapport de la bonne heure (120 XP)
Thèmes : defense, log, incidente, cronologia.
Les commandes que tu utiliseras
Le terminal est simulé et comprend une quarantaine de commandes Linux. Dans ce laboratoire, tu auras surtout besoin de celles-ci :
cat: affiche le contenu d’un fichier : la façon la plus directe de lire configurations, notes et journaux.grep: cherche les lignes qui contiennent un mot, même dans des dossiers entiers avec -r. C’est l’outil principal pour analyser du texte et des journaux.ls: liste les fichiers d’un dossier ; avec -l il montre permissions et propriétaires, avec -a les fichiers cachés aussi. C’est la première commande sur n’importe quelle machine.base64: encode et décode le Base64, le format qui transforme des octets en texte. Il ne protège rien : il s’annule sans clé.|: la barre verticale | enchaîne les commandes : la sortie de la première devient l’entrée de la suivante, et de petits outils forment une analyse complète.
L’environnement simulé
Tu travailles dans un shell Linux simulé, dans le dossier personnel de l'utilisateur runner : fichiers et dossiers imaginaires, aucune cible réseau.
En plus du dossier personnel, il y a un système simulé complet, avec des fichiers de configuration, des journaux, des utilisateurs et des permissions à examiner.
La leçon de défense
Une fois le laboratoire résolu, le compte rendu explique ce qui a mal tourné et comment se protéger :
Reconstituer un incident, c'est mettre les faits en ordre : balayage du site, rafale de mots de passe erronés, première connexion réussie, commandes lancées, données téléchargées. Un grep sur une seule adresse et un second grep sur « Accepted » isolent le moment de l'entrée ; en recoupant access.log on voit ce qui a été touché. Pour que le tableau soit fiable, les horloges des serveurs doivent être synchronisées (NTP) et les journaux conservés aussi ailleurs. Défense : alerte quand un succès suit beaucoup d'échecs, clés au lieu de mots de passe, moindre privilège pour le compte de service et identifiants de la base hors de portée des utilisateurs ordinaires.
Avant et après ce laboratoire
Pour l’ouvrir, tu dois avoir résolu :
- Qui insiste ? (Blue Team / Défense, moyen)
Après ce laboratoire, tu peux passer à :
- Réponse à un incident (Blue Team / Défense, difficile)
Le parcours Blue Team / Défense
Blue Team / Défense est le parcours de ceux qui protègent. Tu lis les journaux d'accès, tu comptes les tentatives échouées pour découvrir qui force une connexion, tu reconstruis la chronologie d'un incident, tu compares une configuration SSH avec celle recommandée, tu fermes les services inutiles et tu mènes une réponse à incident en quatre temps : détecter, contenir, nettoyer, documenter. Les commandes sont les mêmes que dans les autres parcours, mais vues avec les yeux de qui doit comprendre ce qui s'est passé et empêcher que cela recommence.