Leggere un log di accesso
Primo turno di guardia alla Cartoleria Bianchi. Il server degli uffici tiene un registro di chi entra (auth.log, in /var/log) e stanotte qualcuno ha provato a forzare l'accesso. Leggi il registro, capisci chi sbaglia a ripetizione senza mai entrare e decodifica la sua segnalazione.
Laboratorio 1 di 6 del percorso Blue Team / Difesa. Se ti blocchi hai 3 aiuti, dal più vago al più preciso: costano 0, 40 e 100 XP.
Cosa impari
Gli obiettivi si completano da soli mentre lavori nel terminale; ognuno vale punti esperienza:
- Leggere il registro degli accessi (auth.log) (50 XP)
- Filtrare le righe «Failed» con grep (80 XP)
- Decodificare la segnalazione dell'indirizzo sospetto (70 XP)
Argomenti: defense, log, grep.
I comandi che userai
Il terminale è simulato e capisce una quarantina di comandi Linux. In questo laboratorio ti servono soprattutto questi:
cat: stampa il contenuto di un file: il modo più diretto di leggere configurazioni, note e registri.grep: cerca le righe che contengono una parola, anche in intere cartelle con -r. È lo strumento principale per analizzare testo e registri.base64: codifica e decodifica il Base64, il formato che trasforma byte in testo. Non protegge niente: si annulla senza chiave.
L'ambiente simulato
Lavori su una shell Linux simulata, nella home dell'utente runner: file e cartelle inventati, nessun bersaglio in rete.
Oltre alla home c'è un sistema simulato completo, con file di configurazione, registri, utenti e permessi da esaminare.
La lezione di difesa
A laboratorio risolto, il writeup spiega cosa è andato storto e come ci si protegge:
Un log racconta chi ha fatto cosa e quando: la prima difesa è saperlo leggere. Le righe «Failed» e «Invalid user» mostrano i tentativi andati male; un collega che sbaglia una volta e poi entra è normale, un indirizzo che prova tanti nomi diversi e non entra mai sta facendo un attacco a dizionario. Un errore isolato non è un allarme, la ripetizione sì. Difesa: leggere i log ogni giorno (o farsi avvisare da uno strumento), tenere sotto osservazione i tentativi falliti e bloccare gli indirizzi che insistono.
Prima e dopo questo laboratorio
Per aprirlo devi aver risolto:
- Leggere a pezzi (Fondamenti Linux, facile)
Dopo questo laboratorio puoi passare a:
- Chi sta insistendo? (Blue Team / Difesa, medio)
- Hardening di SSH (Blue Team / Difesa, medio)
Il percorso Blue Team / Difesa
Blue Team / Difesa è il percorso di chi protegge. Leggi i registri degli accessi, conti i tentativi falliti per scoprire chi sta forzando un login, ricostruisci la cronologia di un incidente, confronti una configurazione SSH con quella consigliata, chiudi i servizi inutili e gestisci una risposta a un incidente in quattro tempi: rilevare, contenere, ripulire, documentare. I comandi sono gli stessi degli altri percorsi, ma usati con gli occhi di chi deve capire cosa è successo e impedire che succeda di nuovo.