---
# System prepended metadata

title: Journale de bord
tags: [Operation CyberSec, Security, School]

---

# Journale de bord
###### tags: `School` `Security` `Operation CyberSec`

| Machines           | IP              |
| --------           | --------        |
| Metasploitable     | 209.165.200.235 | 
| Kali Linux         | 209.165.201.17  |

## UA1
### Module 2 (analize d'exploit)
#### Effectuer un SCAN NMAP de Kali vers Metasploitable
>nmap -p0- -Pn --version-intensity 0 209.165.200.235

![](https://i.imgur.com/qF3WN9G.png)
Un scan nmap plus aggressif.
>namp -A 209.165.200.235

reaction de Sguill Face au Nmap -A
![](https://i.imgur.com/kB7CVds.png)


#### Exploit
Exploit du serveur samba
![](https://i.imgur.com/1sWCwJE.png)

Ajoute d'un usager pour se connecter via ssh ou autre
![](https://i.imgur.com/SBURuI8.png)

L'exploit dans Wireshark
![](https://i.imgur.com/Vivjbne.png)



#### Shadow
Transfer du fichier shadow
![](https://i.imgur.com/NlmxP2B.png)



#### Shutdown
Shutdown du server a l'aide de la session root obtenu
![](https://i.imgur.com/4rfFgHN.png)

#### Snort/Suricat
On peut voir qu'il ya eu du traffice suspect sur ces port a l'aide de snort.

![](https://i.imgur.com/AnEdMqN.png)
 
 Ici, on a d'autre choses entrange.
 ![](https://i.imgur.com/8xLhUhV.png)


#### Bro
Quand on ouvre une action de Sguil dans Bro
![](https://i.imgur.com/26Y8FkT.png)


#### Wireshark
Quand on ouvre une action de sguill dans wireshark
![](https://i.imgur.com/LcoGmAs.png)


#### Talos
Trouver un spam avec talos
![](https://i.imgur.com/qaHKY2V.png)

### Module 3 (Iptables)
Apres avoir fais les commandes pour effacer les regles SecurityOnions et avoir appliquer les bonnes pratique, j'ai pu bloquer le traffic malicieux.

#### Effacer les configurations deja existantes
Les commandes pour efface le iptables deja existant:
> iptables -P INPUT ACCEPT 
iptables -P FORWARD ACCEPT 
iptables -P OUTPUT ACCEPT 
iptables -t nat -F 
iptables -t mangle -F 
iptables -F 
iptables -X

#### Bonne Pratique avec iptables
Ceux-ci sont les bonnes pratique a faire avec iptables:

1. Permettre le traffic etabli
>sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

2. Permettre le traffic DHCP
>sudo iptables -A INPUT -p udp --dport 67 -j ACCEPT
>sudo iptables -A INPUT -p udp --dport 68 -j ACCEPT

3. Permettre le traffic SSH
>sudo iptables -A INPUT -p tcp --dport ssh -j ACCEPT

4. Permettre le DNS
>sudo iptables -A INPUT -p udp --dport 53 -j ACCEPT

5. Permettre ICMP (ping)
>sudo iptables -A INPUT -p icmp -j ACCEPT

6. Permettre le traffic NTP
>sudo iptables -A INPUT -p udp --dport 123 -j ACCEPT
>sudo iptables -A INPUT -p udp --dport 1023 -j ACCEPT

6. Permettre le traffic web 
>sudo iptables -A INPUT -p udp --dport 80 -j ACCEPT
>sudo iptables -A INPUT -p udp --dport 443 -j ACCEPT
>sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
>sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

7. Tout autre traffique n'est pas permis
> sudo iptables -A INPUT -j DROP

Si on avait eu un serveur de couriel et des equipements avec des interface loopback, il aurait fallu permettre leurs traffiques.

#### Bloquer le hacker
Les commandes que j'ai entrer pour bloquer le hacker:
>sudo iptables -I INPUT -s 209.165.201.17 -j DROP


#### Resultat final
Le iptables final apres avoir proteger contre le hacker:
![](https://i.imgur.com/C5Ba4wk.png)

### Module 4 (pfSense)

#### Vous allez configurer et tester des règles de pare-feu PFSENSE effectuant:
##### Bloc tout paquet de l’internet vers le réseaux interne
![](https://i.imgur.com/F9dwYqo.png)

##### Permet HTTP/FTP/DNS/ICMP de l’interne vers l’Internet
![](https://i.imgur.com/Q0cKRrv.png)


##### Permet les réponses de l’internet vers l’interne (established)

#### Vous allez ensuite installer les packages suivants:
##### SNORT (installer et activer sur les interfaces de PFSENSE)
![](https://i.imgur.com/fDxcuV3.png)

![](https://i.imgur.com/G8DeFSq.png)

![](https://i.imgur.com/Xz3h1pf.png)




## UA3
### Détectez l'attaque que je vais effectuer avec ALERT( essayez d'être précis)

On dirait que 10.250.0.82 a reussi a trouver un faille ou trouver les credentials au serveur FTP sur 10.2.13.102 et a transferer des fichiers.



### Donnez la date et l'heure et la durée de l'attaque, et la date de votre rapport

l'attaque a ete fait le 9 avril autour de 12h.
![](https://i.imgur.com/QZYPdKJ.png)

[Cliquez ici pour voir le rapport.](https://livelacitecon-my.sharepoint.com/:b:/g/personal/2690729_collegelacite_ca/EW8Ga8-DlX5IhbJLNnFkbCIBgS60TmjntydcpaojFyksnw?e=cCwphv)


### Filtrez l'attaque sur HUNT (utilisez une ou deux requête de filtre OQL)


#### Avec d'autre paramettre
![](https://i.imgur.com/Tns1bLN.png)

![](https://i.imgur.com/fUSKgQL.png)


#### Quelques jours apres:
![](https://i.imgur.com/4m7bcZj.png)


#### Le PCAP du traffic FTP
Ici on voit le os du serveur
![](https://i.imgur.com/Vzm4f86.png)

Ici on voit les fichers que la machine a acceder
![](https://i.imgur.com/Gjf6tsy.png)






### Créez un CASE, écrire des précision dessus comme des informations pertinentes
![](https://i.imgur.com/UbLB3zp.png)


### Si vous avez du contenu crypté essayez de le déchiffrer sur CYBER CHIEF

N/A