Anmeldeversuche richtig begrenzen ist ein praktisches Hydra-Projekt für Lernende, die grundlegende Terminaleingaben und Pfade kennen. Bei einer vorbereiteten Geräteausleihe und Werkstattbuchung können wiederholte Fehlversuche andere Mitglieder sperren oder eine alternative Anmeldeseite ungeschützt lassen. Du korrigierst die Richtlinie und weist mit echten Anfragen den Schutz, den normalen Zugriff und die natürliche Wiederherstellung nach.
Der Kurs umfasst zwei angeleitete Übungen und eine eigenständige Challenge. Die erste Übung trennt den Zähler eines Mitglieds von den anderen Konten. Die zweite lässt beide Anmeldeseiten dieselbe Begrenzung pro Konto verwenden. Die Challenge verbindet diese Entscheidungen in einem Buchungsportal mit anderen Pfaden, Feldnamen, Mitgliedern und Datensätzen. Jede Einheit startet unabhängig. Plane etwa 55, 50 beziehungsweise 45 Minuten ein; diese Autorenschätzungen berücksichtigen Lesen und gewöhnliche Fehler, sind aber keine mit Anfängern gemessenen Zeiten.
Was du lernen wirst
Nach diesem Kurs kannst du:
- mit Hydra eine kleine, erlaubte Folge echter Authentifizierungsversuche erzeugen und Clienteinstellungen von einer serverseitigen Begrenzung unterscheiden;
- ein abgelehntes Passwort, eine begrenzte Anfrage und eine tatsächlich authentifizierte Identität auseinanderhalten;
- eine kurze JSON-Richtlinie so ändern, dass wiederholte Fehler pro Konto zählen und unbeteiligte Mitglieder nicht sperren;
- beide tatsächlichen POST-Einstiegspunkte einem Kontozähler zuordnen und beide Richtungen prüfen;
- eine Richtlinie ausdrücklich anwenden, ohne den Dienst neu zu starten oder aktive Versuche zu löschen, und das Ergebnis mit Ereignissen der aktuellen Revision belegen;
- den normalen Referenzzugriff und die vollständigen Originaldatensätze erhalten sowie die Wiederherstellung nach natürlichem Ablauf der Sperrzeit nachweisen.
Für wen dieser Kurs geeignet ist
Dieser Kurs richtet sich an Einsteiger in die Cybersicherheit, die eine Anmeldebegrenzung bewerten und verbessern möchten, während ein echter Dienst nutzbar bleibt.
Voraussetzungen: Du solltest Terminalbefehle eingeben, einen Dateipfad erkennen und Browser-Tabs wechseln können. Programmierung, Dienstinstallation und Erfahrung mit Anmeldebegrenzungen sind nicht erforderlich. Die erste Übung erklärt die benötigten POST-Felder, Hydra-Optionen, Argumente in Anführungszeichen, die JSON-Struktur und Diagnosebefehle. Bearbeite sie vor der zweiten Übung; die Challenge nutzt beide erlernten Mechanismen.
Lernumgebung: Jede Einheit stellt ein vorbereitetes Linux-Terminal in Workstation und eine funktionierende Website Equipment Desk bereit; in der Challenge heißt sie Workshop Desk. Alle Konten, Passwörter, Ausleihen und Buchungen sind synthetische lokale Trainingsressourcen. Die Dokumente sind auf Englisch und in acht weiteren Sprachen verfügbar; laufende Websites, Beschriftungen der Oberflächen und Befehlsausgaben bleiben englisch.
Häufig gestellte Fragen
Muss ich Hydra installieren oder eine Authentifizierungsanwendung bauen?
Nein. Der lokale Dienst und die Werkzeuge sind vorbereitet. Du verstehst die Zählergrenze, bearbeitest die erlaubte Richtlinie, wendest sie an und prüfst das echte Ergebnis. Du entwickelst keinen Server und änderst keine Anmeldeeinstellungen der Plattform.
Soll ich Passwörter herausfinden?
Nein. Die richtigen Test- und Referenzzugangsdaten werden bereitgestellt, ebenso fünf absichtlich falsche Kandidaten für das erlaubte Testkonto. Hydra erzeugt begrenzte Fehlversuche, damit du die Reaktion des Dienstes bewerten kannst. Dass keine Passwörter gemeldet werden, beweist allein keinen Schutz.
Reicht eine richtige Richtliniendatei aus?
Nein. Sie muss der aktiven Richtlinie entsprechen. Für diese Revision müssen echte Belege für Begrenzung, Referenzzugriff und Wiederherstellung vorliegen. Außerdem öffnest du die Originaldatensätze beider Mitglieder. Ein Bericht oder eine Fertig-Markierung ersetzt diese Ergebnisse nicht.
Sind die kleinen Grenzwerte eine Empfehlung für den Produktivbetrieb?
Nein. Drei Fehler in einem 30-Sekunden-Fenster mit anschließender Sperre von 12 Sekunden bilden einen kontrollierten Trainingsvertrag. Das Projekt nutzt einen lokalen Prozess mit zwei POST-Einstiegspunkten. Es implementiert keine verteilte Begrenzung, keine Missbrauchsabwehr im Produktionsmaßstab und keinen Schutz gegen sämtliche Authentifizierungsangriffe.
