Cronologia di un incidente
Ieri abbiamo segnalato 203.0.113.77; oggi il Forno Veloce scopre che dal server sono usciti dei dati. Ricostruisci la cronologia fra auth.log e access.log: a che ora esatta l'aggressore è ENTRATO per la prima volta dopo i tentativi falliti? I rapporti si chiamano con l'ora dell'evento.
Laboratorio 3 di 6 del percorso Blue Team / Difesa. Se ti blocchi hai 3 aiuti, dal più vago al più preciso: costano 0, 50 e 120 XP.
Cosa impari
Gli obiettivi si completano da soli mentre lavori nel terminale; ognuno vale punti esperienza:
- Seguire l'aggressore nel registro SSH (grep dell'indirizzo) (80 XP)
- Isolare gli accessi riusciti (Accepted) (100 XP)
- Vedere cosa ha fatto sul sito (access.log) (100 XP)
- Decodificare il rapporto dell'ora giusta (120 XP)
Argomenti: defense, log, incidente, cronologia.
I comandi che userai
Il terminale è simulato e capisce una quarantina di comandi Linux. In questo laboratorio ti servono soprattutto questi:
cat: stampa il contenuto di un file: il modo più diretto di leggere configurazioni, note e registri.grep: cerca le righe che contengono una parola, anche in intere cartelle con -r. È lo strumento principale per analizzare testo e registri.ls: elenca i file di una cartella; con -l mostra permessi e proprietari, con -a anche i file nascosti. È il primo comando su qualunque macchina.base64: codifica e decodifica il Base64, il formato che trasforma byte in testo. Non protegge niente: si annulla senza chiave.|: la barra verticale | collega i comandi: l'uscita del primo diventa l'ingresso del successivo, così piccoli strumenti formano un'analisi completa.
L'ambiente simulato
Lavori su una shell Linux simulata, nella home dell'utente runner: file e cartelle inventati, nessun bersaglio in rete.
Oltre alla home c'è un sistema simulato completo, con file di configurazione, registri, utenti e permessi da esaminare.
La lezione di difesa
A laboratorio risolto, il writeup spiega cosa è andato storto e come ci si protegge:
Ricostruire un incidente significa mettere in fila i fatti: scansione del sito, raffica di password sbagliate, primo accesso riuscito, comandi eseguiti, dati scaricati. Con un grep su un solo indirizzo e un secondo grep su «Accepted» si isola il momento dell'ingresso; incrociando l'access.log si capisce cosa è stato toccato. Perché il quadro sia affidabile gli orologi dei server devono essere sincronizzati (NTP) e i log conservati anche altrove. Difesa: un allarme quando dopo molti fallimenti arriva un successo, chiavi al posto delle password, privilegi minimi per l'utente di servizio e credenziali del database fuori dalla portata dei normali utenti.
Prima e dopo questo laboratorio
Per aprirlo devi aver risolto:
- Chi sta insistendo? (Blue Team / Difesa, medio)
Dopo questo laboratorio puoi passare a:
- Risposta a un incidente (Blue Team / Difesa, difficile)
Il percorso Blue Team / Difesa
Blue Team / Difesa è il percorso di chi protegge. Leggi i registri degli accessi, conti i tentativi falliti per scoprire chi sta forzando un login, ricostruisci la cronologia di un incidente, confronti una configurazione SSH con quella consigliata, chiudi i servizi inutili e gestisci una risposta a un incidente in quattro tempi: rilevare, contenere, ripulire, documentare. I comandi sono gli stessi degli altri percorsi, ma usati con gli occhi di chi deve capire cosa è successo e impedire che succeda di nuovo.