Réponse à un incident
Ortofrutta Rossi, cette nuit : quelqu'un est entré dans le serveur de gestion. Comprendre ce qui s'est passé ne suffit pas, il faut une intervention en quatre temps. Détecte l'attaque dans les journaux, trouve qui est vraiment entré et avec quel compte, repère ce que l'intrus a laissé pour revenir et documente tout dans le bon rapport.
Laboratoire 6 sur 6 du parcours Blue Team / Défense. Si tu bloques, tu as 3 indices, du plus vague au plus précis : ils coûtent 0, 60 et 150 XP.
Ce que tu apprends
Les objectifs se valident tout seuls pendant que tu travailles dans le terminal ; chacun rapporte des points d’expérience :
- DÉTECTER : repérer les tentatives échouées dans le journal (grep Failed) (150 XP)
- CONTENIR : trouver la connexion réussie venue de l'extérieur (200 XP)
- NETTOYER : lister les programmes SUID (find -perm -4000) (200 XP)
- DOCUMENTER : décoder le rapport avec les trois bonnes données (150 XP)
Thèmes : defense, incident-response, log, suid.
Les commandes que tu utiliseras
Le terminal est simulé et comprend une quarantaine de commandes Linux. Dans ce laboratoire, tu auras surtout besoin de celles-ci :
cat: affiche le contenu d’un fichier : la façon la plus directe de lire configurations, notes et journaux.grep: cherche les lignes qui contiennent un mot, même dans des dossiers entiers avec -r. C’est l’outil principal pour analyser du texte et des journaux.cut: extrait une colonne de chaque ligne en choisissant le séparateur, pour isoler un champ précis d’un journal.sort: trie les lignes, aussi par ordre numérique (-n) ou à l’envers (-r).uniq: supprime les lignes répétées à la suite et les compte avec -c : avec sort, il crée des classements, comme celui des adresses les plus insistantes.head: affiche seulement les premières lignes d’un fichier, pratique pour comprendre le format d’un journal sans tout lire.tail: affiche les dernières lignes d’un fichier, c’est-à-dire les événements les plus récents d’un journal.find: cherche des fichiers par nom, type ou permissions dans toute une arborescence ; lors d’un audit, il déniche clés, copies oubliées et programmes aux permissions dangereuses.ls: liste les fichiers d’un dossier ; avec -l il montre permissions et propriétaires, avec -a les fichiers cachés aussi. C’est la première commande sur n’importe quelle machine.base64: encode et décode le Base64, le format qui transforme des octets en texte. Il ne protège rien : il s’annule sans clé.|: la barre verticale | enchaîne les commandes : la sortie de la première devient l’entrée de la suivante, et de petits outils forment une analyse complète.
L’environnement simulé
Tu travailles dans un shell Linux simulé, dans le dossier personnel de l'utilisateur runner : fichiers et dossiers imaginaires, aucune cible réseau.
En plus du dossier personnel, il y a un système simulé complet, avec des fichiers de configuration, des journaux, des utilisateurs et des permissions à examiner.
La leçon de défense
Une fois le laboratoire résolu, le compte rendu explique ce qui a mal tourné et comment se protéger :
Un incident se gère en quatre temps : détecter (les journaux montrent l'attaque), contenir (qui est vraiment entré, avec quel compte : pas toujours celui qui insiste le plus), nettoyer (programmes SUID en trop, tâches planifiées, clés et comptes nouveaux : tout ce qui permet à l'intrus de revenir) et documenter (ce qui s'est passé, ce qui a été touché, ce qui a été fait). Les causes de fond sont deux : un mot de passe faible sur un compte de service et un sudo trop large. Défense : clés au lieu de mots de passe, moindre privilège pour les comptes de service, segmentation du réseau (la sauvegarde ne doit pas pouvoir aller partout), contrôles périodiques de SUID et cron, journaux envoyés vers un serveur séparé.
Avant et après ce laboratoire
Pour l’ouvrir, tu dois avoir résolu :
- Chronologie d'un incident (Blue Team / Défense, moyen)
- Fermer les ports inutiles (Blue Team / Défense, moyen)
- Exécutables avec le bit SUID (Privilege Escalation, moyen)
C’est l’un des laboratoires finaux : aucun autre laboratoire ne le requiert.
Le parcours Blue Team / Défense
Blue Team / Défense est le parcours de ceux qui protègent. Tu lis les journaux d'accès, tu comptes les tentatives échouées pour découvrir qui force une connexion, tu reconstruis la chronologie d'un incident, tu compares une configuration SSH avec celle recommandée, tu fermes les services inutiles et tu mènes une réponse à incident en quatre temps : détecter, contenir, nettoyer, documenter. Les commandes sont les mêmes que dans les autres parcours, mais vues avec les yeux de qui doit comprendre ce qui s'est passé et empêcher que cela recommence.