Aller au contenu principal
Suivant

Sur la machine srv-lin-01. Lire le ticket, agir dans le terminal, puis vérifier.

Ticket 1409, ouvert par Thomas Legrand : cette nuit, la supervision a levé une alerte : une rafale d'échecs de connexion sur srv-lin-01. Chaque tentative de connexion à distance (SSH) à la machine est consignée dans /var/log/auth.log.

Trouver le compte que l'attaquant a réellement ouvert, le verrouiller, et couper la session qu'il y a laissée. Les comptes qu'il n'a pas pu ouvrir doivent rester utilisables, et les sessions légitimes en cours ne doivent pas être interrompues. Rien ne doit être effacé : le compte compromis et son dossier serviront à l'enquête, et son titulaire recevra un nouveau mot de passe une fois celle-ci terminée.

Rappel

Le chapitre 8 fait centraliser les journaux et alerter sur une rafale d'échecs de connexion, l'événement 4625 sous Windows. Sur srv-lin-01, le journal des connexions à distance (SSH) les consigne, une ligne par tentative :

  • Failed password for elodie from 10.20.1.15 port 52144 ssh2 : un échec, avec le compte visé et l'adresse d'origine ; invalid user s'y ajoute quand le compte n'existe pas ;
  • Accepted password for elodie from 10.20.1.15 port 52190 ssh2 : une connexion réussie.

Pour lire un journal : grep motif fichier garde les lignes qui contiennent le motif ; awk '{ print $(NF-3) }' garde un champ, ici le quatrième en partant de la fin, qui est l'adresse ; sort | uniq -c compte les lignes identiques, et sort -n range le résultat. Le journal appartient à root : sudo pour le lire.

Pour agir sur un compte :

  • chaque session ouverte est un processus du compte : ps -o pid,user,args les montre ;
  • usermod -L COMPTE (ou passwd -l COMPTE) verrouille le mot de passe sans rien effacer, et usermod -U le déverrouille ; usermod -e 1 COMPTE fait expirer le compte entier ;
  • pkill -u COMPTE arrête tous les processus d'un compte, kill PID un seul.

Boîte à outils

Un clic écrit la commande au curseur, sans la lancer.

Indications

Indication 2
Indication 3

Le ticket se prépare dès que la machine est prête.