ログイン試行制限を修正するは、基本的なターミナル入力とパスの知識がある方を対象とした、Hydra の実践プロジェクトです。用意された機材貸出・ワークショップ予約サービスでは、失敗の繰り返しによって別の会員がログインできなくなったり、別のログインページでは制限を回避できたりします。ポリシーを修正し、実際のリクエストで保護、通常のアクセス、自然な回復を確かめます。
コースには2つのガイド付きラボと1つの独立したチャレンジがあります。最初のラボでは、ある会員のカウンターを他のアカウントから分離します。次のラボでは、2つのログインページで同じアカウントの制限を共有させます。チャレンジでは、パス、フィールド名、会員、記録が異なる予約ポータルで、この2つの判断を組み合わせます。各単元は独立して開始します。所要時間の目安は順に55分、50分、45分です。読解や一般的なミスへの対応を含む著者の見積もりであり、初心者による実測値ではありません。
学習内容
このコースを修了すると、次のことができるようになります。
- Hydra で許可範囲内の少数の認証試行を実際に発生させ、クライアントの設定とサーバー側の制限を区別する。
- パスワードの拒否、リクエストの制限、実際に認証されたユーザーを見分ける。
- 短い JSON ポリシーを変更して、失敗をアカウントごとに数え、無関係な会員をブロックしないようにする。
- 2つの実際の POST 入口を同じアカウントカウンターに関連付け、両方向をテストする。
- サービスの再起動や有効な試行の消去をせずにポリシーを明示的に適用し、現在のリビジョンのイベントで結果を確認する。
- 通常の参照用アカウントのアクセスと完全な元の記録を保ち、クールダウンが自然に終了した後の回復を実証する。
このコースの対象者
実際のサービスを使える状態に保ちながら、ログイン制限を評価・改善したいサイバーセキュリティ初心者を対象としています。
前提知識：ターミナルへのコマンド入力、ファイルパスの識別、ブラウザーのタブ切り替えができる必要があります。プログラミング、サービスのインストール、試行制限の経験は不要です。最初のラボでは、必要な POST フィールド、Hydra のオプション、引用符付きの引数、JSON 構造、診断コマンドを説明します。最初のラボを終えてから次のラボへ進んでください。チャレンジでは、両方で学んだ仕組みを使います。
学習環境：各単元には、Workstation の準備済み Linux ターミナルと、動作する Equipment Desk サイトがあります。チャレンジのサイト名は Workshop Desk です。アカウント、パスワード、貸出・予約記録はすべてローカルの合成トレーニング資源です。教材は英語とその他8言語で提供されます。動作中のサイト、インターフェースのラベル、コマンド出力は英語のままです。
よくある質問
Hydra のインストールや認証アプリの作成は必要ですか？
いいえ。ローカルサービスとツールは準備済みです。カウンターの境界を理解し、変更を許可されたポリシーを編集・適用して、実際の結果をテストします。サーバーの開発や、プラットフォームのログイン設定の変更は行いません。
パスワードを発見することが目的ですか？
いいえ。テスト用と参照用の正しい認証情報に加え、許可されたテストアカウント専用の、意図的に誤った5つの候補が提供されます。Hydra で限定的な失敗を発生させ、サービスの応答を評価します。パスワードの報告が0件でも、それだけでは保護を証明できません。
ポリシーファイルが正しければ十分ですか？
いいえ。ファイルが動作中のポリシーと一致し、そのリビジョンでの実際の制限、参照用アカウントのアクセス、回復の証拠が必要です。また、両会員の元の記録を開きます。文章のレポートや完了マーカーは、これらの結果の代わりにはなりません。
この小さな制限値は本番環境への推奨値ですか？
いいえ。30秒のウィンドウ内で3回失敗すると12秒のクールダウンが発生する、管理されたトレーニング用の契約です。プロジェクトは2つの POST 入口を持つ1つのローカルプロセスを使います。分散制限、本番規模の不正利用対策、あらゆる認証攻撃への防御は実装しません。
