Salta al contenuto
PURPLEDUEL

Percorso Blue Team / Difesa

6 laboratori · Log, incidenti, hardening

Blue Team / Difesa è il percorso di chi protegge. Leggi i registri degli accessi, conti i tentativi falliti per scoprire chi sta forzando un login, ricostruisci la cronologia di un incidente, confronti una configurazione SSH con quella consigliata, chiudi i servizi inutili e gestisci una risposta a un incidente in quattro tempi: rilevare, contenere, ripulire, documentare. I comandi sono gli stessi degli altri percorsi, ma usati con gli occhi di chi deve capire cosa è successo e impedire che succeda di nuovo.

I laboratori, in ordine

  1. Leggere un log di accesso

    facile · 300 XP

    Primo turno di guardia alla Cartoleria Bianchi. Il server degli uffici tiene un registro di chi entra (auth.log, in /var/log) e stanotte qualcuno ha provato a forzare l'accesso. Leggi il registro, capisci chi sbaglia a ripetizione senza mai entrare e decodifica la sua segnalazione.

    Richiede: Leggere a pezzi.

  2. Chi sta insistendo?

    medio · 600 XP

    Il Forno Veloce vende pane online e il suo server web è sotto assedio: stanotte il registro degli accessi si è riempito di password sbagliate. Non basta sapere che qualcuno insiste, devi sapere CHI insiste di più. Conta i tentativi falliti per indirizzo e decodifica la segnalazione dell'aggressore.

    Richiede: Leggere un log di accesso e Pipe e filtri.

  3. Cronologia di un incidente

    medio · 600 XP

    Ieri abbiamo segnalato 203.0.113.77; oggi il Forno Veloce scopre che dal server sono usciti dei dati. Ricostruisci la cronologia fra auth.log e access.log: a che ora esatta l'aggressore è ENTRATO per la prima volta dopo i tentativi falliti? I rapporti si chiamano con l'ora dell'evento.

    Richiede: Chi sta insistendo?.

  4. Hardening di SSH

    medio · 600 XP

    Dopo gli ultimi guai, la Cartoleria Bianchi vuole un SSH più robusto. Sul server c'è la configurazione in uso e, da qualche parte, quella consigliata dal produttore. Confrontale: quante impostazioni sono troppo deboli? Il numero giusto indica il rapporto d'audit da decodificare.

    Richiede: Leggere un log di accesso e Trovare i file.

  5. Chiudere le porte inutili

    medio · 600 XP

    Il server del Magazzino Verdi «ha sempre funzionato così». Più servizi ascoltano, più porte può bussare qualcuno. Scopri cosa è aperto su questa macchina, confrontalo con l'inventario dei servizi autorizzati e vai a sentire cosa dice il servizio che non dovrebbe esserci.

    Richiede: Banner dei servizi e Hardening di SSH.

  6. Risposta a un incidente

    difficile · 1000 XP

    Ortofrutta Rossi, stanotte: qualcuno è entrato nel server del gestionale. Non basta capire che cosa è successo, serve un intervento in quattro tempi. Rileva l'attacco nei log, individua chi è entrato davvero e con quale account, trova ciò che l'intruso ha lasciato per tornare e documenta tutto nel rapporto giusto.

    Richiede: Cronologia di un incidente, Chiudere le porte inutili e Eseguibili con il bit SUID.

I comandi del percorso

Lungo il percorso il terminale simulato ti fa usare questi comandi: cat, grep, base64, head, cut, sort, uniq, ls, find, diff, wc, nmap, nc e tail. Ogni pagina di laboratorio spiega a cosa servono.

Approfondisci con le guide

Tutte le guide

Gli altri percorsi

I laboratori di PurpleDuel