Mission SOC 1 — Brute force SSH (T1110)

Le SIEM a levé l'alerte « Brute force SSH (Linux) » sur lnx-web02, suivie d'une alerte critique « Connexion réussie après une rafale ». Vous êtes analyste N1 de permanence.

1. Dans /var/log/auth.log, identifiez l'IP qui domine les échecs (grep "Failed password" … | grep -oE "from [0-9.]+" | sort | uniq -c) → answer ip <adresse>
2. Combien d'échecs depuis cette IP ? → answer echecs <n>
3. Une connexion a-t-elle réussi ensuite ? Quel compte est compromis ? → answer compte <nom>
4. Contenez : bloquez l'IP dans /etc/nftables.conf (chaîne input) et rechargez nftables — l'administration depuis 10.0.10.5 doit continuer à fonctionner
5. Verrouillez le compte compromis
6. Documentez l'incident dans ~/incident/INC-101.md : l'IP, le compte et les deux techniques MITRE ATT&CK (T1110 force brute, T1078 comptes valides)