Qué vas a hacer
Cuando alguien consigue entrar en un servidor sin permiso, las personas que responden se llaman especialistas en respuesta a incidentes, y casi todo su trabajo consiste en leer registros (logs): las líneas en las que una máquina escribe qué hizo y cuándo. Vas a mirar los registros y los archivos copiados de un servidor que sufrió un ataque anoche. Vas a ver qué hay y cuánto hay. No vas a resolver el caso: eso es la tarea del propio laboratorio.
Antes de empezar
Nota
Pulsa Iniciar el laboratorio en la barra superior de esta lección. Este laboratorio es una máquina Ubuntu entera, solo para ti, así que tarda un poco más en arrancar que un contenedor. Cada botón Ejecutar de más abajo escribe su comando en el terminal de la máquina, uno detrás de otro. Si alguno dice que la máquina aún está arrancando, espera unos segundos y vuelve a pulsarlo. Para ver los comandos en directo, o para escribir los tuyos, pulsa Abrir el terminal (pestaña nueva) en la barra.
1. Mira lo que tienes
Las evidencias (las pruebas del ataque) están en la carpeta case, dentro de tu carpeta personal. Se copiaron del servidor atacado con la misma estructura. find case -type f lista todos los archivos que contiene: ocho, entre ellos el registro de SSH, el registro del servidor web, el archivo de cuentas, dos crontabs (las listas de tareas que se ejecutan en un horario) y dos archivos de claves.
find case -type fSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
2. ¿Cuánto hay?
wc -l cuenta líneas. El registro de SSH, auth.log, tiene 1366 y el access.log del servidor web tiene 552. Nadie lee tantas líneas una a una. Quien responde a un incidente las busca con una herramienta, y el README del laboratorio explica cómo.
wc -l case/var/log/auth.log case/var/log/nginx/access.logSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
3. Lee unas líneas del registro de SSH
Cada línea tiene una hora, el nombre de la máquina, el programa que la escribió y lo que pasó. Estas cinco líneas son intentos fallidos de iniciar sesión por SSH. Cada intento se escribe dos veces, primero como una línea Invalid user y después como una línea Failed password, con la dirección desde la que vino y el nombre de usuario que se probó.
head -n 5 case/var/log/auth.logSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
4. Cuenta las contraseñas fallidas
grep muestra las líneas que contienen unas palabras, y -c las cuenta en lugar de mostrarlas. Hay 333 contraseñas fallidas en el día. Cuáles importan lo tienes que descubrir tú en el laboratorio: un número por sí solo no dice quién consiguió entrar.
grep -c "Failed password" case/var/log/auth.logSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Ahora haz el laboratorio
Consejo
Ya has visto las evidencias y cómo buscar en ellas. Encontrar al atacante es la tarea de este laboratorio: abre README.md, que está en tu carpeta personal, con cat README.md en el terminal. Te explica qué hay que encontrar y cómo escribirlo en answers.txt, y no da ninguna de las soluciones.
Para el profesorado
Consejo
Esta lección es un pequeño ejemplo de una lección practicada en un laboratorio: los pasos y los botones Ejecutar son la lección, y el laboratorio es la copia propia de cada alumno. Esta lección se practica en un laboratorio de máquina virtual: cada alumno tiene su propia máquina Ubuntu con el mismo caso, y un botón Ejecutar escribe en su terminal y muestra lo que salió. El propio laboratorio incluye una comprobación que evalúa las respuestas escritas e indica cuál es la primera incorrecta. Cópiela en su propio módulo y modifíquela, o cree una desde cero con el menú Laboratorio del constructor de lecciones.