Fermer les ports inutiles
Le serveur du Magazzino Verdi « a toujours fonctionné comme ça ». Plus il y a de services à l'écoute, plus il y a de portes où frapper. Découvre ce qui est ouvert sur cette machine, compare-le à l'inventaire des services autorisés et va écouter ce que dit le service qui ne devrait pas être là.
Laboratoire 5 sur 6 du parcours Blue Team / Défense. Si tu bloques, tu as 3 indices, du plus vague au plus précis : ils coûtent 0, 40 et 100 XP.
Ce que tu apprends
Les objectifs se valident tout seuls pendant que tu travailles dans le terminal ; chacun rapporte des points d’expérience :
- Scanner les ports ouverts avec nmap (80 XP)
- Lire l'inventaire des services autorisés (80 XP)
- Trouver où le service en clair est configuré (grep -r) (100 XP)
- Lire la bannière du service oublié (nc) (140 XP)
Thèmes : defense, hardening, nmap, superficie.
Les commandes que tu utiliseras
Le terminal est simulé et comprend une quarantaine de commandes Linux. Dans ce laboratoire, tu auras surtout besoin de celles-ci :
cat: affiche le contenu d’un fichier : la façon la plus directe de lire configurations, notes et journaux.nmap: découvre les hôtes actifs d’un réseau et les ports ouverts d’une machine, avec services et versions. La défense l’utilise pour comparer le vrai réseau avec l’inventaire.grep: cherche les lignes qui contiennent un mot, même dans des dossiers entiers avec -r. C’est l’outil principal pour analyser du texte et des journaux.nc: netcat ouvre une connexion brute vers un port et montre ce que répond le service, y compris son message d’accueil (bannière).
L’environnement simulé
Tu travailles dans un shell Linux simulé, dans le dossier personnel de l'utilisateur runner : fichiers et dossiers imaginaires, aucune cible réseau.
En plus du dossier personnel, il y a un système simulé complet, avec des fichiers de configuration, des journaux, des utilisateurs et des permissions à examiner.
Des services locaux tournent aussi sur la machine :
- FTP: le vieux transfert de fichiers qui envoie identifiants et données en clair ; on le remplace aujourd’hui par SFTP.
- SSH: l’accès distant chiffré à la ligne de commande ; on le protège avec des clés plutôt que des mots de passe et sans connexion directe en root.
- Web (HTTP): un serveur web avec des pages, des API ou des panneaux d’administration : la partie la plus exposée de presque toute organisation.
- Telnet: l’accès distant sans chiffrement : mots de passe et commandes circulent en clair et n’importe qui sur le réseau peut les lire.
- Base de données: une base de données (MySQL, MariaDB ou PostgreSQL), qui ne devrait répondre qu’aux services qui l’utilisent et jamais à tout le réseau.
La leçon de défense
Une fois le laboratoire résolu, le compte rendu explique ce qui a mal tourné et comment se protéger :
Chaque service à l'écoute est une surface d'attaque : il faut le justifier ou l'éteindre. Un inventaire des services autorisés (et un nmap périodique pour le confronter à la réalité) fait ressortir les oublis : un vieux telnet sur un port inhabituel, un FTP remplacé par SFTP, une base de données ouverte à tout le réseau au lieu de 127.0.0.1. Telnet et FTP envoient les mots de passe en clair : quiconque est sur le réseau les lit. Défense : éteindre ce qui ne sert pas, faire écouter les services internes uniquement sur localhost, filtrer les ports avec un pare-feu et retirer les bannières qui en disent trop.
Avant et après ce laboratoire
Pour l’ouvrir, tu dois avoir résolu :
- Bannières des services (Recon & Scanning, facile)
- Durcir SSH (Blue Team / Défense, moyen)
Après ce laboratoire, tu peux passer à :
- Réponse à un incident (Blue Team / Défense, difficile)
Le parcours Blue Team / Défense
Blue Team / Défense est le parcours de ceux qui protègent. Tu lis les journaux d'accès, tu comptes les tentatives échouées pour découvrir qui force une connexion, tu reconstruis la chronologie d'un incident, tu compares une configuration SSH avec celle recommandée, tu fermes les services inutiles et tu mènes une réponse à incident en quatre temps : détecter, contenir, nettoyer, documenter. Les commandes sont les mêmes que dans les autres parcours, mais vues avec les yeux de qui doit comprendre ce qui s'est passé et empêcher que cela recommence.