Was du machst
Wenn jemand in einen Server einbricht, heißen die Menschen, die darauf reagieren, Incident Responder. Den größten Teil ihrer Arbeit machen sie damit, Logs zu lesen: die Zeilen, in denen eine Maschine festhält, was sie wann getan hat. Du siehst dir Logs und Dateien an, die von einem Server kopiert wurden, der letzte Nacht angegriffen wurde. Du schaust, was da ist und wie groß es ist. Den Fall löst du nicht: Das ist die eigene Aufgabe des Labs.
Bevor du anfängst
Notiz
Klicke oben in der Leiste dieser Lektion auf Lab starten. Dieses Lab ist eine ganze Ubuntu-Maschine für dich allein und braucht daher etwas länger zum Starten als ein Container. Jede Schaltfläche Ausführen unten tippt ihren Befehl ins Terminal der Maschine, einen nach dem anderen. Sagt eine, dass die Maschine noch startet, warte ein paar Sekunden und klicke noch einmal. Wenn du zuschauen oder eigene Befehle tippen willst, klicke in der Leiste auf Terminal öffnen (neuer Tab).
1. Sieh nach, was du hast
Die Beweise liegen im Ordner case in deinem Home-Ordner. Er wurde mit demselben Aufbau vom angegriffenen Server kopiert. find case -type f listet jede Datei darin auf: acht, darunter das SSH-Log, das Log des Webservers, die Datei mit den Konten, zwei Crontabs (die Listen der Aufgaben, die nach Zeitplan laufen) und zwei Dateien mit Schlüsseln.
find case -type fHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
2. Wie viel ist da?
wc -l zählt Zeilen. Das SSH-Log auth.log hat 1366 und das access.log des Webservers hat 552. Niemand liest so viele einzeln. Incident Responder durchsuchen sie, und die README des Labs sagt, wie.
wc -l case/var/log/auth.log case/var/log/nginx/access.logHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
3. Lies ein paar Zeilen des SSH-Logs
Jede Zeile besteht aus einer Uhrzeit, dem Namen der Maschine, dem Programm, das sie geschrieben hat, und dem, was passiert ist. Diese fünf Zeilen sind fehlgeschlagene Anmeldeversuche über SSH. Jeder Versuch steht zweimal da, als Zeile Invalid user und dann als Zeile Failed password, mit der Adresse, von der er kam, und dem Benutzernamen, der probiert wurde.
head -n 5 case/var/log/auth.logHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
4. Zähle die falschen Passwörter
grep gibt die Zeilen aus, die bestimmte Wörter enthalten, und -c zählt sie stattdessen. Es gibt 333 falsche Passwörter an diesem Tag. Welche davon wichtig sind, musst du im Lab herausfinden: Eine Zahl allein sagt nicht, wer hineingekommen ist.
grep -c "Failed password" case/var/log/auth.logHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Jetzt das Lab
Tipp
Du hast die Beweise gesehen und weißt, wie man sie durchsucht. Die angreifende Person zu finden ist die Aufgabe dieses Labs: Öffne die README.md in deinem Home-Ordner mit cat README.md im Terminal. Sie sagt, was du finden sollst und wie du es in answers.txt aufschreibst, und verrät keine Antworten.
Für Lehrkräfte
Tipp
Diese Lektion ist ein kleines Beispiel für eine Lektion, die in einem Lab abläuft: Die Schritte und die Schaltflächen „Ausführen“ sind die Lektion, und das Lab ist die eigene Kopie jeder lernenden Person. Diese Lektion läuft in einem VM-Lab: Jede lernende Person hat eine eigene Ubuntu-Maschine mit demselben Fall, und „Ausführen“ tippt in dessen Terminal und zeigt die Ausgabe. Das Lab selbst hat eine Prüfung, die die schriftlichen Antworten bewertet und die erste falsche nennt. Kopiere die Lektion in dein eigenes Modul und ändere sie, oder baue im Lektionseditor über das Menü Lab eine neue von Grund auf.