Aller au contenu
PURPLEDUEL

Parcours Blue Team / Défense

6 laboratoires · Logs, incidents, hardening

Blue Team / Défense est le parcours de ceux qui protègent. Tu lis les journaux d'accès, tu comptes les tentatives échouées pour découvrir qui force une connexion, tu reconstruis la chronologie d'un incident, tu compares une configuration SSH avec celle recommandée, tu fermes les services inutiles et tu mènes une réponse à incident en quatre temps : détecter, contenir, nettoyer, documenter. Les commandes sont les mêmes que dans les autres parcours, mais vues avec les yeux de qui doit comprendre ce qui s'est passé et empêcher que cela recommence.

Les laboratoires, dans l’ordre

  1. Lire un journal d'accès

    facile · 300 XP

    Première garde de nuit à la Papeterie Bianchi. Le serveur des bureaux garde un journal de qui se connecte (auth.log, dans /var/log) et cette nuit quelqu'un a tenté de forcer l'accès. Lis le journal, repère qui échoue sans cesse sans jamais entrer et décode son signalement.

    Prérequis : Lire par morceaux.

  2. Qui insiste ?

    moyen · 600 XP

    Il Forno Veloce vend du pain en ligne et son serveur web est assiégé : cette nuit, le journal d'accès s'est rempli de mots de passe erronés. Savoir que quelqu'un insiste ne suffit pas, il faut savoir QUI insiste le plus. Compte les tentatives échouées par adresse et décode le signalement de l'attaquant.

    Prérequis : Lire un journal d'accès et Pipes et filtres.

  3. Chronologie d'un incident

    moyen · 600 XP

    Hier nous avons signalé 203.0.113.77 ; aujourd'hui Il Forno Veloce découvre que des données ont quitté le serveur. Reconstitue la chronologie entre auth.log et access.log : à quelle heure exacte l'attaquant est-il ENTRÉ pour la première fois après les tentatives échouées ? Les rapports portent l'heure de l'événement.

    Prérequis : Qui insiste ?.

  4. Durcir SSH

    moyen · 600 XP

    Après les derniers ennuis, la Papeterie Bianchi veut un SSH plus robuste. Le serveur contient la configuration en usage et, quelque part, celle recommandée par l'éditeur. Compare-les : combien de paramètres sont trop faibles ? Le bon nombre désigne le rapport d'audit à décoder.

    Prérequis : Lire un journal d'accès et Trouver des fichiers.

  5. Fermer les ports inutiles

    moyen · 600 XP

    Le serveur du Magazzino Verdi « a toujours fonctionné comme ça ». Plus il y a de services à l'écoute, plus il y a de portes où frapper. Découvre ce qui est ouvert sur cette machine, compare-le à l'inventaire des services autorisés et va écouter ce que dit le service qui ne devrait pas être là.

    Prérequis : Bannières des services et Durcir SSH.

  6. Réponse à un incident

    difficile · 1000 XP

    Ortofrutta Rossi, cette nuit : quelqu'un est entré dans le serveur de gestion. Comprendre ce qui s'est passé ne suffit pas, il faut une intervention en quatre temps. Détecte l'attaque dans les journaux, trouve qui est vraiment entré et avec quel compte, repère ce que l'intrus a laissé pour revenir et documente tout dans le bon rapport.

    Prérequis : Chronologie d'un incident, Fermer les ports inutiles et Exécutables avec le bit SUID.

Les commandes du parcours

Tout au long du parcours, le terminal simulé te fait utiliser ces commandes : cat, grep, base64, head, cut, sort, uniq, ls, find, diff, wc, nmap, nc et tail. Chaque page de laboratoire explique à quoi elles servent.

Approfondir avec les guides (en anglais)

Tous les guides (en anglais)

Les autres parcours

Les laboratoires de PurpleDuel