Le serveur a été piraté, que fait-on ?
Un incident de sécurité est un événement où quelqu'un entre dans un système sans en avoir le droit. Quand il arrive, une équipe doit comprendre ce qui s'est passé, sans rien abîmer.
Dans cette leçon, tu apprends la méthode : lire les journaux, remonter une chronologie, écrire un rapport clair.
À la fin de cette leçon
Remarque
Je peux conduire une enquête simple sur un incident et la résumer dans un rapport.
Mots clés
| Mot | Ce que ça veut dire | Exemple |
|---|---|---|
| Incident | un événement qui met la sécurité en danger | |
| Journal | un fichier où un programme note ce qu'il fait, ligne par ligne | auth.log |
| Chronologie | la liste des faits dans l'ordre du temps | |
| Preuve | une trace qu'on garde intacte pour comprendre | |
| Persistance | ce que laisse un intrus pour pouvoir revenir |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Les étapes d'une réponse à un incident
On suit toujours le même chemin. On détecte que quelque chose ne va pas, puis on contient le problème pour qu'il ne grandisse pas.
On enquête pour comprendre, on remet en état, puis on apprend de l'incident pour qu'il ne revienne pas.
La règle du lab
Important
Travaille seulement sur les preuves de ton propre lab, et seulement avec la permission de ton enseignant. Rien ici n'est dangereux : ce sont des fichiers de texte. Un enquêteur ne touche jamais aux originaux : il travaille sur une copie.
Avant de commencer
Remarque
Appuie sur Start the lab et attends que la machine soit prête. Les preuves sont dans le dossier case de ton dossier personnel. Le fichier README.md explique le cas : lis-le avant tout.
Regarde ce que contient le dossier de preuves
ls caseAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Fais une copie de travail des preuves
cp -r case travailAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Lis les trois premières lignes du journal
head -n 3 case/var/log/auth.logAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Exemple : lire une ligne de journal
| Morceau de la ligne | Ce qu'il dit |
|---|---|
| Oct 14 02:14:09 | La date et l'heure de l'événement |
| web01 sshd[4210] | Le serveur, puis le programme qui a écrit la ligne |
| Failed password for deploy | Un mot de passe faux pour le compte deploy |
| from 203.0.113.9 port 52144 | L'adresse d'où vient la demande, et son port |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Compte les échecs dans tout le journal
grep -c "Failed password" case/var/log/auth.logAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Compte les connexions réussies
grep -c "Accepted" case/var/log/auth.logAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Une attaque par essais laisse un motif
Ces deux nombres sont très différents. Beaucoup d'essais ratés pour très peu de connexions réussies : c'est normal sur un serveur ouvert à Internet.
Le motif qui inquiète est autre : une série d'échecs suivie d'un succès depuis la même adresse. Une adresse qui échoue mille fois sans jamais entrer n'est que du bruit.
Une erreur fréquente
Attention
Beaucoup pensent que l'attaquant est l'adresse qui a le plus d'échecs. Souvent, celle-là n'entre jamais. Cherche d'abord un succès qui vient après des échecs, et vérifie l'heure.
Liste les comptes de la machine piratée
cut -d: -f1 case/etc/passwdAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Lis le début des dates de modification
head -n 3 case/mtimes.txtAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Que met-on dans un rapport d'incident ?
Un bon rapport répond à quatre questions. Qui : quelle adresse, quel compte. Quand : la première heure. Comment : par quel chemin. Quoi : ce que l'intrus a laissé.
Il sépare ce qu'on sait de ce qu'on suppose. Il termine par ce qu'on fait pour que ça ne se reproduise pas.