Wie sieht ein Einbruch im Protokoll aus?
Ein Protokoll, auch Log genannt, ist eine Liste der Ereignisse auf einem Rechner. Wer es lesen kann, findet darin die Spuren eines Angriffs.
Du lernst, Fehlversuche zu zählen und Ereignisse in eine Zeitleiste zu bringen. Die Regel: Du wertest nur Protokolle deiner eigenen Lab-Kopie aus, nie fremde Systeme und nie ohne Erlaubnis.
Am Ende dieser Lektion
Notiz
Ich kann einen Angriff in einem Protokoll finden.
Schlüsselwörter
| Begriff | Was er bedeutet | Beispiel |
|---|---|---|
| Protokoll | eine Datei, in der ein System seine Ereignisse notiert | auth.log |
| Zeitleiste | die Ereignisse nach der Uhrzeit sortiert | |
| Fehlversuch | eine Anmeldung mit falschem Passwort | |
| Spur | ein Hinweis, den ein Angriff hinterlässt | |
| Beweis | eine Datei, die zeigt, was geschehen ist | |
| Anmeldung | der Moment, in dem sich jemand am System ausweist |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Wie ist eine Zeile im Protokoll gebaut?
Jede Zeile ist ein Ereignis. Sie hat meistens die gleichen Teile: Zeit, Rechnername, Programm und eine Meldung.
Die Meldung sagt, was passiert ist: ein Passwort war falsch oder eine Anmeldung gelang. Weil jede Zeile gleich gebaut ist, kann man sie mit Werkzeugen durchsuchen und zählen.
Beispiel: zwei Zeilen eines Anmeldeprotokolls
Oct 14 02:11:03 web01 sshd[411]: Failed password for root from 203.0.113.5 port 5122 ssh2
Oct 14 02:14:40 web01 sshd[433]: Accepted password for max from 192.0.2.10 port 4400 ssh2
# Das ist ein erfundenes Beispiel, kein Teil des Labs.
Die eine Regel
Warnung
Drück oben auf Lab starten und warte, bis die Maschine läuft. Du arbeitest nur mit deiner eigenen Kopie. Die Beweise im Ordner case sind schreibgeschützt. Eigene Dateien legst du in deinem Ordner an.
Wie zählt man Fehlversuche je Adresse?
Du suchst mit grep alle Zeilen mit „Failed“. Mit awk schneidest du die Adresse heraus. sort bringt gleiche Adressen zusammen, uniq -c zählt sie, und sort -rn stellt die größte Zahl nach oben.
Der senkrechte Strich | reicht die Ausgabe eines Werkzeugs an das nächste weiter.
Ein eigenes Beispielprotokoll anlegen
printf 'Failed password for root from 203.0.113.5\nFailed password for admin from 203.0.113.5\nFailed password for root from 198.51.100.7\nAccepted password for max from 192.0.2.10\n' > beispiel.logHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Die Fehlversuche zählen
grep -c Failed beispiel.logHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Fehlversuche je Adresse, die meisten zuerst
grep Failed beispiel.log | awk '{print $NF}' | sort | uniq -c | sort -rnHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Beispiel: was die Werkzeuge ergeben
| Adresse | Fehlversuche | Angemeldet? |
|---|---|---|
| 203.0.113.5 | 2 | nein |
| 198.51.100.7 | 1 | nein |
| 192.0.2.10 | 0 | ja, als max |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Wie baut man eine Zeitleiste?
Eine Zeitleiste ordnet die wichtigen Ereignisse nach der Uhrzeit. Du suchst die erste erfolgreiche Anmeldung einer verdächtigen Adresse. Dann schaust du, was danach geschah: neue Dateien, neue Aufgaben, neue Konten.
Dabei hilft ein Vergleich: Was vor der Ankunft der Adresse geschah, kann nicht von ihr stammen.
Beispiel: eine erfundene Zeitleiste
| Uhrzeit | Ereignis | Passt zum Angriff? |
|---|---|---|
| 02:10 | Viele Fehlversuche von einer Adresse | Ja, das Raten beginnt |
| 02:14 | Erfolgreiche Anmeldung derselben Adresse | Ja, der Einbruch |
| 02:18 | Eine neue Datei erscheint im Ordner des Kontos | Ja, eine Spur |
| 01:05 | Ein Konto wird von der Verwaltung angelegt | Nein, es ist früher |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Ein häufiger Fehler
Warnung
Viele denken, die Adresse mit den meisten Fehlversuchen sei der Eindringling. Das stimmt nicht immer. Eine Adresse kann tausendmal scheitern und nie hineinkommen. Entscheidend ist, wer nach den Fehlversuchen erfolgreich angemeldet war.