Mission SOC 13 — Persistance sur un serveur détectée par le FIM

La surveillance d'intégrité (FIM) de lnx-app03 signale des modifications de fichiers système. Les changements approuvés portent la mention [expected] ; les autres sont marqués FIM CRITICAL.

1. Dans /var/log/wazuh/fim.log et /var/log/auth.log, retrouvez l'IP d'entrée de l'attaquant → answer ip <adresse> et le compte qu'il a créé → answer compte <nom>
2. Éradiquez la persistance :
   • retirez sa clé de /root/.ssh/authorized_keys (celle de ops@bastion est légitime)
   • supprimez le compte créé et son droit sudo (/etc/sudoers.d/90-sysmaint)
3. Corrigez la faiblesse de configuration qui l'a laissé entrer : dans /etc/ssh/sshd_config, PermitRootLogin no et PasswordAuthentication no, validez (sshd -t) et redémarrez ssh
4. Documentez dans ~/incident/INC-113.md : l'IP, le compte, les techniques T1098.004 (clé SSH ajoutée) et T1136.001 (compte local créé), et la cause (PermitRootLogin)