Исправление ограничений попыток входа — практический проект с Hydra для тех, кто знаком с базовым вводом команд в терминале и путями к файлам. В подготовленном сервисе выдачи оборудования и бронирования мастерских повторные ошибки могут заблокировать другого участника или оставить альтернативную страницу входа без защиты. Ваша задача — исправить политику и реальными запросами подтвердить защиту, сохранение обычного доступа и естественное восстановление.
Курс содержит две пошаговые лабораторные работы и одно самостоятельное задание. В первой работе счётчик одного участника отделяется от остальных учётных записей. Во второй обе страницы входа начинают использовать общее ограничение для одной учётной записи. Самостоятельное задание объединяет эти решения в портале бронирования с другими путями, именами полей, участниками и записями. Каждый модуль запускается независимо. Отведите примерно 55, 50 и 45 минут соответственно: это авторские оценки с учётом чтения и обычных ошибок, а не результаты замеров среди начинающих.
Чему вы научитесь
После прохождения курса вы сможете:
- создавать с помощью Hydra небольшую разрешённую последовательность реальных попыток аутентификации, отличая настройки клиента от ограничения на сервере;
- различать отклонённый пароль, ограниченный запрос и действительно аутентифицированного пользователя;
- изменять короткую политику JSON так, чтобы повторные ошибки учитывались по учётным записям, не блокируя посторонних участников;
- связывать обе реальные точки входа POST с одним счётчиком учётной записи и проверять оба направления;
- явно применять политику без перезапуска сервиса и удаления активных попыток, подтверждая результат событиями текущей редакции;
- сохранять обычный доступ контрольной учётной записи и полные исходные записи, а также подтверждать восстановление после естественного окончания периода блокировки.
Для кого этот курс
Курс предназначен для начинающих в кибербезопасности, которые хотят оценивать и улучшать ограничения входа, сохраняя работоспособность реального сервиса.
Предварительные знания: Вы должны уметь вводить команды в терминале, узнавать путь к файлу и переключать вкладки браузера. Программирование, установка сервисов и опыт настройки ограничений не требуются. В первой работе объясняются необходимые поля POST, параметры Hydra, аргументы в кавычках, структура JSON и диагностические команды. Выполните её перед второй работой; самостоятельное задание использует оба изученных механизма.
Учебная среда: Каждый модуль предоставляет подготовленный терминал Linux в Workstation и работающий сайт Equipment Desk, а в самостоятельном задании — Workshop Desk. Все учётные записи, пароли, выдачи оборудования и бронирования — локальные синтетические учебные ресурсы. Документы доступны на английском и ещё восьми языках; работающие сайты, названия интерфейсов и вывод команд остаются на английском.
Часто задаваемые вопросы
Нужно ли устанавливать Hydra или создавать приложение аутентификации?
Нет. Локальный сервис и инструменты уже подготовлены. Вы разбираетесь в границах счётчика, редактируете и применяете разрешённую политику, затем проверяете реальный результат. Разрабатывать сервер или менять настройки входа платформы не нужно.
Нужно ли искать пароли?
Нет. Предоставлены правильные данные тестовой и контрольной учётных записей, а также пять заведомо неверных кандидатов только для разрешённой тестовой записи. Hydra создаёт ограниченное число ошибок, чтобы вы могли оценить реакцию сервиса. Отсутствие найденных паролей само по себе не доказывает наличие защиты.
Достаточно ли правильного файла политики?
Нет. Он должен соответствовать действующей политике, а для этой редакции должны существовать реальные подтверждения ограничения, контрольного доступа и восстановления. Также вы открываете исходные записи обоих участников. Текстовый отчёт или отметка о завершении не заменяют этих результатов.
Рекомендуются ли такие небольшие ограничения для рабочей среды?
Нет. Три ошибки за окно в 30 секунд и последующая блокировка на 12 секунд — условия контролируемого обучения. В проекте используется один локальный процесс с двумя точками входа POST. Он не реализует распределённые ограничения, предотвращение злоупотреблений в промышленном масштабе или защиту от всех атак на аутентификацию.
