Registros de autenticación y sudo

2 tareas · 40 min · Principiante

0 de 2 · 0%

Cuando un usuario invoca sudo, el módulo PAM y el subsistema de sudoers generan trazas explícitas que documentan el usuario invocador, la terminal (TTY), el directorio de trabajo (PWD) y el comando final ejecutado como superusuario. En cacerías de amenazas, patrones como intentos fallidos inmediatos seguidos de éxito o el uso de shells directas (/bin/bash, su -) señalan potencial escalada o evasión de restricciones.

Responde para continuar

¿Qué anomalía temporal en las trazas de sudo suele justificar una hipótesis de fuerza bruta o error de credencial previo a elevación?

Cierre de sesión SSH mediante la señal estándar SIGHUP del cliente Registro de sesiones interactivas exclusivamente en horario comercial de oficina Ejecución continua de utilidades estándar de lectura como uname sin elevación Fallo de autenticación seguido en segundos por autenticación exitosa hacia una shell interactiva

Ver pista de ayuda

Busca la transición rápida entre fallo y éxito en accesos interactivos.

Verifica en la tabla de autenticación el comando exacto invocado por el usuario deployer mediante sudo.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el comando completo invocado por deployer que se encuentra en la columna action.

Ver pista de ayuda

Copia el contenido íntegro de la columna action para el evento de deployer.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Auditoría del Kernel de Linux · auditd y journald

auditd Daemon / journalctl Telemetry Engine

Tablas

audit_events

id
type
syscall
exe
comm
key
success
auid
uid

journal_auth

timestamp
unit
user
action
tty
status
host

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Rastro de elevación de privilegios en Linux

2 Inspección del comando auditado en journalctl Lab

Whoami-Labs Pro utiliza cookies