TP 1 : Installer CrowdSec et détecter un brute force SSH

Ce que vous allez apprendre dans ce TP

• Démarrer CrowdSec avec Docker
• Déclarer les logs à lire
• Lire alertes et décisions
• Interroger la LAPI comme un bouncer

Introduction #

Ce que vous allez apprendre dans cette section

• Démarrer CrowdSec avec Docker
• Déclarer les logs à lire
• Lire alertes et décisions
• Interroger la LAPI comme un bouncer

Contexte. Votre serveur subit des tentatives de connexion SSH. Vous voulez voir CrowdSec les reconnaître, sans encore rien bloquer.

Prérequis : Docker, Docker Compose  ·  Durée estimée : 40 min

Mise en place #

Étapes guidées, avec leur correction.

1. 1. Le fichier Compose

   Pourquoi ? Les volumes conservent configuration et base. Sans volume sur /var/lib/crowdsec/data, l'image refuse de démarrer.

   Créez compose.yaml.

2. 2. Déclarer les logs

   Créez un fichier d'acquisition par source, puis démarrez.

3. 3. Vérifier l’installation

   Contrôlez les collections et les sources lues.

4. 4. Simuler une attaque

   Pourquoi ? Seules les nouvelles lignes sont analysées : on les ajoute après le démarrage.

   Ajoutez huit échecs de connexion.

5. 5. Interroger la LAPI

   Créez une clé de bouncer et demandez le statut de deux adresses.

Niveau de difficulté : ●○○○○ (1/5)