Introdução
O River Festival precisa revisar o acesso antes de abrir a rede. Visitantes e funcionários devem conseguir ler a programação pública; o check-in e os materiais são exclusivos da equipe. Sua tarefa é observar o mesmo servidor das duas posições de rede e entregar uma análise precisa, incluindo acessos inesperados e serviços obrigatórios indisponíveis.
Guest Scanner e Staff Scanner são terminais persistentes em namespaces de rede separados de uma única VM de treinamento. Eles têm rotas e endereços de origem diferentes, mas compartilham arquivos; não são VMs independentes. O ambiente está preparado e todos os dados são sintéticos. Somente o servidor 10.77.3.2 e as portas TCP 8311,8322,8333 são alvos autorizados. Preserve clientes, rotas, regras de filtragem, serviços, dados e observadores de pacotes. A tarefa é apenas de observação: uma análise correta pode mostrar que a rede ainda não está pronta para abrir.
Basta saber inserir comandos básicos e reconhecer caminhos. As opções necessárias de Nmap, HTTP e a sintaxe do shell são explicadas; recomenda-se Finding the Live Workshop Service como preparação. Não é necessário administrar firewalls nem programar.
Estabelecer um controle funcional nas duas origens
Primeiro você verá o funcionamento público normal de cada rede, antes de avaliar o acesso restrito. Use as abas nomeadas do laboratório, não um shell do servidor ou de administração. Abrir a aba de um scanner entra na rede preparada sem reconstruí-la. Cada terminal tem seu próprio diretório e estado de shell; os arquivos ficam na mesma VM.
Guest Scanner
Selecione Guest Scanner. cd muda o diretório de trabalho deste shell; os caminhos relativos seguintes usam esse diretório como referência:
cd /home/labex/project/nmap-access/guest
cat mostra um arquivo de texto. .. indica o diretório pai; assim, este caminho lê o acordo compartilhado acima do diretório da função:
cat ../plan.csv
CSV significa valores separados por vírgulas: o cabeçalho nomeia as colunas e cada linha seguinte descreve uma relação. As seis linhas associam guest ou staff a um serviço e uma porta TCP. allow exige uma conexão funcional; block exige que aquela origem não consiga se conectar. A programação pública na 8311 é permitida para ambas as origens. Check-in na 8322 e materiais na 8333 são exclusivos da equipe.
HTTP é o protocolo de requisição/resposta destes serviços. curl obtém uma URL. As opções combinadas -fsS falham em erros HTTP, ocultam o indicador de progresso e ainda mostram erros; -o salva a resposta no nome de arquivo seguinte. O endereço escolhe o destino, a porta após os dois-pontos escolhe o ponto de escuta e /manifest.csv escolhe o recurso:
curl -fsS -o public.csv http://10.77.3.2:8311/manifest.csv
cat public.csv
Espere o cabeçalho e dois registros schedule/RIVER-FEST: P01/Doors at 10 e P02/Talk at 11. É uma resposta real da posição de rede dos visitantes, cujo endereço de origem é 10.77.1.2.
Staff Scanner
Mude para a aba Staff Scanner. Sua origem é 10.77.2.2 e seu diretório de função é separado:
cd /home/labex/project/nmap-access/staff
curl -fsS -o public.csv http://10.77.3.2:8311/manifest.csv
cat public.csv
Espere os mesmos dois registros públicos completos. Um controle público funcional dos dois lados evita confundir um scanner desconectado com um bloqueio correto. Os dois arquivos public.csv ficam em diretórios de função diferentes. Se digitar um nome de arquivo incorretamente, leia o erro, use pwd para mostrar o diretório deste terminal e repita o cd indicado para a função antes de tentar novamente. Não repare rotas nem reinicie serviços.
Examinar os mesmos serviços de cada rede
Colete observações completas das duas origens. Um estado de porta descreve o que este scanner observou, não uma propriedade intrínseca do servidor. open significa que uma conexão TCP foi aceita. closed significa que a varredura recebeu uma rejeição, que pode vir da ausência de um serviço escutando ou de um filtro que rejeita. filtered significa que o Nmap não conseguiu determinar se a porta está aberta porque as sondas ou respostas foram bloqueadas. Não deduza uma causa específica apenas pelo estado.
O Nmap examina serviços de rede. -sT seleciona a varredura TCP connect, que aqui não exige privilégios para pacotes brutos. -Pn pula a decisão preliminar de descoberta do host e examina as portas indicadas mesmo quando outras sondas não recebem resposta; por si só, isso não prova que o host está ativo. -n pula a resolução reversa de nomes. --reason mostra a base da resposta, -p escolhe o conjunto completo de portas autorizadas e -oX salva XML estruturado além da saída normal do terminal. O conjunto padrão de portas comuns não substitui este acordo.
O Nmap Scripting Engine, NSE, pode enviar uma requisição de aplicação selecionada. --script escolhe um script e --script-args fornece suas opções nomeadas. http-title obtém um título HTML; http-title.url=/about seleciona o recurso descritivo. Os três candidatos foram declarados serviços HTTP. O + inicial executa explicitamente apenas esse script mesmo em uma porta não reconhecida, dentro deste escopo HTTP conhecido. Não é uma instrução geral para forçar scripts arbitrários em serviços não relacionados. Não se exige o texto da versão do produto.
Guest Scanner
Mude para Guest Scanner, ainda em /home/labex/project/nmap-access/guest. Primeiro leia a ajuda do script escolhido com --script-help:
nmap --script-help http-title
nmap -sT -Pn -n --reason --script=+http-title --script-args=http-title.url=/about -p 8311,8322,8333 -oX scan.xml 10.77.3.2
Aguarde Nmap done. Espere 8311 e 8322 abertas, com os títulos reais da programação pública e do check-in da equipe. A 8333 deve estar filtered. O visitante consegue alcançar um serviço exclusivo da equipe; portanto, o controle público bem-sucedido não era uma análise completa de acesso.
Staff Scanner
Mude para Staff Scanner, ainda em /home/labex/project/nmap-access/staff. Execute a mesma inspeção limitada desta posição de rede:
nmap -sT -Pn -n --reason --script=+http-title --script-args=http-title.url=/about -p 8311,8322,8333 -oX scan.xml 10.77.3.2
Espere 8311 e 8322 abertas e 8333 fechada. Assim, a equipe não consegue se conectar a um serviço necessário. As respostas de título identificam candidatos HTTP que respondem; um nome convencional em SERVICE não comprova a aplicação por si só.
São duas varreduras reais, não um resultado renomeado para duas origens. Os arquivos scan.xml de cada função e o tráfego de origem existente sustentam a análise. Se usou a aba, o alvo ou as portas erradas, execute novamente a varredura completa corrigida no scanner adequado. Se interromper, espere uma nova execução completa terminar. Renomear texto como XML ou copiar o arquivo da outra função não cria as observações da origem ausente.
Entregar a análise de acesso e preservar o cenário
Transforme as seis relações observadas em uma análise precisa para a entrega. Comece em Staff Scanner, em /home/labex/project/nmap-access/staff. Mantenha o cenário original inalterado; a análise pode estar completa enquanto o acesso ainda precisa de reparo posterior.
Em uma linha allow, open atende ao acordo; closed ou filtered significa unavailable. Em uma linha block, uma porta aberta é unexpected-open; closed ou filtered atende à restrição de conexão observada. Essa conclusão se aplica à origem, ao alvo, ao protocolo, às portas e ao momento indicados. Não garante todos os caminhos de rede nem a causa exata da rejeição.
As colunas do relatório são source,service,port,expected,observed,verdict. Vincule origem e serviço às suas próprias evidências. Registre o estado real, sem trocar todos os resultados não abertos por uma única palavra. O acordo exige materiais para a equipe, apesar do estado atual closed: é um problema identificado, não um bloqueio correto.
Um here-document com aspas passa as linhas literais seguintes para cat. > substitui somente o relatório nomeado; o CSV final deve ficar sozinho na linha. ../access-review.csv coloca a análise compartilhada no diretório pai:
Staff Scanner
cat > ../access-review.csv <<'CSV'
source,service,port,expected,observed,verdict
guest,schedule,8311,allow,open,meets
guest,checkin,8322,block,open,unexpected-open
guest,supplies,8333,block,filtered,meets
staff,schedule,8311,allow,open,meets
staff,checkin,8322,allow,open,meets
staff,supplies,8333,allow,closed,unavailable
CSV
cat ../access-review.csv
Adie a abertura da rede: visitantes alcançam inesperadamente o check-in e os materiais da equipe estão indisponíveis. Não elimine uma exposição nem altere um filtro para facilitar o relatório; esta tarefa entrega descobertas ao responsável. O mesmo estado pode ter implicações diferentes conforme a relação allow/block.
Guest Scanner
Mude para Guest Scanner e use novamente o controle público inalterado:
curl -fsS -o public.csv http://10.77.3.2:8311/manifest.csv
Staff Scanner
Volte a Staff Scanner e faça o mesmo:
curl -fsS -o public.csv http://10.77.3.2:8311/manifest.csv
Ambos devem continuar fornecendo os dois registros públicos originais. Os serviços privados e a configuração de rede original também permanecem para investigação. Se digitou a URL incorretamente, corrija a URL conhecida e tente novamente com a mesma função, em vez de copiar o download do outro lado.
Resumo
Você confirmou o funcionamento normal nas duas origens, coletou observações Nmap separadas e analisou cada relação de acesso. Acessibilidade inesperada e indisponibilidade de serviços obrigatórios são descobertas distintas. A análise completa preserva o cenário original e limita suas conclusões às origens e ao escopo realmente observados.
