Chi sta insistendo?
Il Forno Veloce vende pane online e il suo server web è sotto assedio: stanotte il registro degli accessi si è riempito di password sbagliate. Non basta sapere che qualcuno insiste, devi sapere CHI insiste di più. Conta i tentativi falliti per indirizzo e decodifica la segnalazione dell'aggressore.
Laboratorio 2 di 6 del percorso Blue Team / Difesa. Se ti blocchi hai 3 aiuti, dal più vago al più preciso: costano 0, 50 e 120 XP.
Cosa impari
Gli obiettivi si completano da soli mentre lavori nel terminale; ognuno vale punti esperienza:
- Isolare i tentativi falliti con grep (80 XP)
- Estrarre la colonna dell'indirizzo con cut (100 XP)
- Raggruppare e contare con sort e uniq -c (120 XP)
- Decodificare la segnalazione dell'aggressore (100 XP)
Argomenti: defense, log, pipe, brute-force.
I comandi che userai
Il terminale è simulato e capisce una quarantina di comandi Linux. In questo laboratorio ti servono soprattutto questi:
cat: stampa il contenuto di un file: il modo più diretto di leggere configurazioni, note e registri.grep: cerca le righe che contengono una parola, anche in intere cartelle con -r. È lo strumento principale per analizzare testo e registri.head: mostra solo le prime righe di un file, utile per capire il formato di un registro senza leggerlo tutto.cut: estrae una colonna da ogni riga scegliendo il separatore, per isolare un campo preciso di un registro.sort: ordina le righe, anche in ordine numerico (-n) o al contrario (-r).uniq: toglie le righe ripetute una dopo l'altra e con -c le conta: insieme a sort crea classifiche, come quella degli indirizzi più insistenti.base64: codifica e decodifica il Base64, il formato che trasforma byte in testo. Non protegge niente: si annulla senza chiave.|: la barra verticale | collega i comandi: l'uscita del primo diventa l'ingresso del successivo, così piccoli strumenti formano un'analisi completa.
L'ambiente simulato
Lavori su una shell Linux simulata, nella home dell'utente runner: file e cartelle inventati, nessun bersaglio in rete.
Oltre alla home c'è un sistema simulato completo, con file di configurazione, registri, utenti e permessi da esaminare.
La lezione di difesa
A laboratorio risolto, il writeup spiega cosa è andato storto e come ci si protegge:
Con grep, cut, sort e uniq -c un log di centinaia di righe diventa una classifica: chi insiste di più sta quasi sempre facendo un attacco a forza bruta. Ma i numeri vanno letti con cura: uno script interno con la password vecchia o un utente distratto non sono aggressori, e un attacco lento e sparso passa sotto la soglia. Difesa: limitare i tentativi per indirizzo (rate limiting), bloccare in automatico chi supera la soglia con fail2ban e passare dalle password alle chiavi SSH.
Prima e dopo questo laboratorio
Per aprirlo devi aver risolto:
- Leggere un log di accesso (Blue Team / Difesa, facile)
- Pipe e filtri (Fondamenti Linux, medio)
Dopo questo laboratorio puoi passare a:
- Cronologia di un incidente (Blue Team / Difesa, medio)
Il percorso Blue Team / Difesa
Blue Team / Difesa è il percorso di chi protegge. Leggi i registri degli accessi, conti i tentativi falliti per scoprire chi sta forzando un login, ricostruisci la cronologia di un incidente, confronti una configurazione SSH con quella consigliata, chiudi i servizi inutili e gestisci una risposta a un incidente in quattro tempi: rilevare, contenere, ripulire, documentare. I comandi sono gli stessi degli altri percorsi, ma usati con gli occhi di chi deve capire cosa è successo e impedire che succeda di nuovo.