Что серверные логи могут рассказать об атакующем: разбираем подозрительные запросы на Linux
Практический разбор для начинающих специалистов Blue Team: где искать следы подозрительной активности, как читать записи SSH и веб-сервера и почему один странный запрос ещё не означает взлом. Представим ситуацию: на сервере работает сайт, пользователи заходят на него, приложение обрабатывает запросы, а администратор занимается обычными задачами. В какой-то момент нагрузка растёт, в логах появляется множество ошибок, а SSH начинает регистрировать неудачные попытки входа. Что произошло? Обычный сбой, автоматическое сканирование или кто-то пытается получить доступ к системе? Без журналов событий ответить на этот вопрос сложно. Но если логи настроены правильно, они могут рассказать довольно много: какие действия выполнялись, когда они происходили, какие ресурсы запрашивались и чем закончились попытки доступа. — В этой статье разберём, как начать расследование подозрительной активности на Linux-сервере без сложных SIEM-систем и дорогостоящих инструментов. Читать далее