Was tut man nach einem Hackerangriff?
Nach einem Angriff untersucht man zuerst, was genau passiert ist, bevor man etwas repariert. Das nennt man Incident Response, auf Deutsch die Reaktion auf einen Sicherheitsvorfall.
Du lernst, Spuren in Protokollen zu lesen, eine Zeitleiste zu bauen und kurz und klar zu melden. Du arbeitest nur an einem erfundenen Fall in deiner eigenen Lab-Maschine.
Am Ende dieser Lektion
Notiz
Ich kann aus Protokollzeilen eine Zeitleiste eines Angriffs bauen und ihn melden.
Schlüsselwörter
| Begriff | Was er bedeutet | Beispiel |
|---|---|---|
| Sicherheitsvorfall | ein Ereignis, bei dem jemand unerlaubt in ein System eindringt | |
| Protokoll | eine Datei, in die ein System aufschreibt, was geschieht | auth.log |
| Zeitleiste | die Ereignisse in der Reihenfolge, in der sie geschahen | |
| Beweis | eine Spur, die zeigt, was geschehen ist | |
| Persistenz | etwas, das ein Angreifer zurücklässt, um wiederzukommen |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Welche Schritte hat die Reaktion auf einen Vorfall?
Es gibt fünf Schritte. Man erkennt den Vorfall, dämmt ihn ein, damit er nicht größer wird, und untersucht ihn.
Danach behebt man die Ursache und meldet ihn mit dem, was man gelernt hat. Wer zu früh aufräumt, zerstört Spuren.
Ein häufiger Fehler
Warnung
Viele denken, man solle nach einem Angriff sofort alles löschen und neu starten. So verschwinden aber die Spuren, und niemand erfährt, wie der Angreifer hereinkam. Sichere zuerst eine Kopie der Beweise und arbeite nur an der Kopie.
Die eine Regel für dieses Lab
Warnung
Du arbeitest nur an dem erfundenen Fall in deiner eigenen Lab-Maschine. Du suchst nie ohne Erlaubnis in den Protokollen eines echten Systems, das dir nicht gehört. So lernst du, wie man einen Angriff erkennt, damit du echte Systeme schützen kannst.
Bevor du anfängst
Notiz
Drück oben in der Leiste auf Lab starten und warte, bis die Maschine läuft. In deinem Heimordner liegt ein Ordner case mit den Spuren. Du siehst dir nur seinen Aufbau an. Die Antworten suchst du später im Lab selbst.
Welche Spuren liegen im Ordner?
ls caseHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Wie viele Konten hat der Server?
wc -l case/etc/passwdHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Die ersten Zeilen der Änderungszeiten lesen
head -n 3 case/mtimes.txtHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Wie liest man eine Protokollzeile?
Eine Protokollzeile hat feste Teile: eine Uhrzeit, was geschah, wer es tat und von welcher Adresse es kam.
Das hier ist ein erfundenes Beispiel in einfacher Form. Die Zeilen im Lab sehen anders aus, aber sie enthalten dieselben Angaben.
Beispiel: eine erfundene Zeile in ihren Teilen
| Teil | Beispiel | Was es sagt |
|---|---|---|
| Uhrzeit | 03:12:07 | Wann es geschah |
| Status | fehlgeschlagen | Die Anmeldung wurde abgelehnt |
| Konto | alice | Für welches Konto es versucht wurde |
| Adresse | 203.0.113.9 | Von wo der Versuch kam |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Wie baut man eine Zeitleiste?
Eine Zeitleiste ordnet alle Ereignisse nach der Uhrzeit. Man filtert zuerst nach der Adresse oder dem Konto, das auffällt, und liest dann seine Zeilen von oben nach unten.
Ein Angriff zeigt sich oft so: erst viele Fehlversuche von einer Adresse, dann ein Erfolg. Ein einzelner Fehlversuch, dann ein Erfolg, ist meist nur ein Tippfehler.
Beispiel: eine erfundene Zeitleiste
| Uhrzeit | Ereignis | Was es heißt |
|---|---|---|
| 01:30:00 bis 01:30:12 | Fünf Fehlversuche von 203.0.113.9 | Jemand probiert Passwörter |
| 01:30:15 | Anmeldung erfolgreich von 203.0.113.9 | Der Angreifer ist drin |
| 01:34:00 | Neuer Cron-Eintrag | Die Persistenz, damit er wiederkommt |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Was gehört in eine Meldung über einen Vorfall?
Eine gute Meldung antwortet auf fünf Fragen. Was ist passiert, und wann? Wer oder welches Konto war betroffen? Wie kam der Angreifer herein, und was ist jetzt zu tun?
Sie ist kurz, nennt Uhrzeiten und Adressen genau und trennt, was bewiesen ist, von dem, was man nur vermutet.
Weiterführend: eine Meldung schreiben
Schreib für den erfundenen Fall der Aufgabe eine Meldung von fünf Sätzen. Beantworte darin die fünf Fragen.
Streich jedes Wort, das nur eine Vermutung ist, oder markier es klar als Vermutung.