Linux w cybersecurity – dlaczego 90% narzędzi wymaga znajomości CLI?

Jeśli wchodzisz w cybersecurity z nadzieją na „hacking w 4K” i kolorowe dashboardy, to mam złą i dobrą wiadomość. Zła: w prawdziwym świecie 90% narzędzi bezpieczeństwa żyje w terminalu CLI. Dobra: to właśnie ten nudny, czarny ekran daje ci przewagę nad atakującym. I owszem – memy o „dark-themed terminal = +10 do skilla” mają w sobie sporo prawdy.

Dlaczego to temat pilny? Bo luka na rynku to dziś nie tylko luka w oprogramowaniu, ale też luka kompetencyjna. Firmy wdrażają Kali Linux, ParrotOS i stosy open source tools, ale brakuje ludzi, którzy potrafią w nich pracować szybciej niż atakujący eksploatuje kolejną lukę z serii CVE-2024-XXXXX. Bez praktycznej znajomości terminala CLI jesteś w cybersecurity jak gamer z RTX 5090, który gra klawiaturą ekranową.

CLI kontra realne ataki gdzie kończy się GUI

Większość poważnych incydentów to dziś ataki na serwery Linux – od chmur produkcyjnych, przez kontenery, po urządzenia IoT. Atakujący po wejściu na maszynę robią dokładnie to samo, czego ty się boisz: odpalają terminal, kilka komend i… są w domu.

• Recon i eksploatacja – skany nmap, sprawdzanie usług, wyszukiwanie podatnych wersji (np. z list CVE dla Apache, OpenSSH, PHP).
• Post-exploitation – praca na shelu: ps, netstat/ss, find, skrypty bash, tunelowanie.
• Persistence – edycja crontab, .bashrc, systemd, drop webshella w /var/www/html.

PILNE: jeśli twoja strategia reagowania na incydent to „poczekam, aż SIEM narysuje ładny wykres”, to jesteś kilka kroków za kimś, kto umie w 30 sekund przelecieć procesy, logi i aktywne połączenia po SSH.

Dlaczego 90% narzędzi bezpieczeństwa kocha czarny ekran

Kali Linux i ParrotOS to dystrybucje zbudowane do testów penetracyjnych i pracy ofensywnej/defensywnej – i tak, ich sercem jest terminal CLI.

• Metasploit – konsola msfconsole, eksploitacja podatności (np. CVE-2021-41773 w Apache), wszystko z linii komend.
• nmap – od zwykłego -sV po skan pod konkretne CVE, całe życie w CLI.
• sqlmap – automatyzacja SQL injection: sqlmap -u <URL> --dbs.
• hydra, ffuf, wpscan – klasyka bruteforce i fuzzingu – zero GUI, 100% terminal.

Ciekawostka: większość „łagodnych” wrapperów graficznych dla pentesterów to tak naprawdę okienko, które pod spodem i tak… wypluwa komendy CLI.

Linux w SOC i IR sekundy nie slajdy

Analitycy bezpieczeństwa pracujący z serwerami Linux w momencie incydentu żyją w wierszu poleceń, bo:

• Szybkość – jedno ssh + kilka komend jest szybsze niż logowanie na serwerze przez RDP/VNC i odpalanie GUI.
• Brak wymagań – produkcyjne serwery często nie mają środowiska graficznego; CLI jest zawsze.
• Forensic – analiza logów (/var/log/syslog, /var/log/auth.log), procesów i plików odbywa się przez grep, less, awk.

Ważne: nawet jeśli masz wypasiony SIEM, prędzej czy później trafisz na moment, kiedy jedynym sensownym ruchem jest: ssh user@server i modlitwa, że wiesz, co dalej.

Konkrety jak CLI ratuje cię przy prawdziwych CVE

Masz alert: podejrzane requesty do serwera www. Co robi ktoś, kto potrafi Linux + CLI?

• Sprawdza procesy: ps aux | grep -E "apache2|nginx" – szuka niestandardowych parametrów, nietypowych użytkowników.
• Sprawdza listening ports: ss -tulpen lub netstat -tulpen, aby znaleźć podejrzane usługi lub backdoor listening na dziwnym porcie.
• Przegląda logi: grep -E "(../|%2e%2e)" /var/log/apache2/access.log – klasyk dla path traversal.
• ICOs: nietypowe ścieżki w logach, nowe pliki w /var/www/html, podejrzane procesy www z innym binary.

Jak się chronić: aktualizacja do wersji łatającej CVE, ograniczenie Alias/ScriptAlias, twarde reguły WAF. Ale bez CLI nawet nie dojdziesz do etapu diagnozy.

Oryginalny materiał od @The Cyber Security Hub™ możesz zobaczyć poniżej:

Jak widać w powyższym materiale, kluczowe narzędzia i techniki analizy są nierozerwalnie związane z pracą w terminalu. To nie jest wybór, a konieczność.

Rootkit i backdoor w systemie

Po lokalnym exploicie (jak historyczne CVE-2021-3156 w sudo) atakujący mógł uzyskać prawa roota. Co robisz z terminalem?

• Sprawdzasz usługi przy starcie: systemctl list-unit-files --state=enabled, szukasz dziwnych unitów.
• Sprawdzasz autostart użytkownika: cat ~/.bashrc, crontab -l, pliki w /etc/cron.*.
• Polujesz na webshell: find /var/www -type f -mtime -2 – nowe pliki, które pojawiły się niedawno.
• Analizujesz moduły kernela: lsmod, dmesg | grep -i module – klasyka w poszukiwaniu rootkitów.

KRYTYCZNE: większość rootkitów i backdoorów na Linux nie zostawia wygodnego „uninstall.exe”. Bez CLI nie tylko ich nie zdejmiesz – nawet ich nie zauważysz.

Sprawdź natychmiast czy jesteś zagrożony

Jeśli pracujesz lub chcesz pracować w cybersecurity, odpowiedz uczciwie, czy bez podpowiadania potrafisz:

• wyświetlić procesy i posortować je po zużyciu CPU/RAM (ps aux --sort=-%mem, top, htop),
• sprawdzić, jakie porty nasłuchują na serwerze (ss -tulpen/netstat -tulpen),
• przefiltrować logi po IP lub słowie kluczowym (grep, journalctl),
• znaleźć podejrzane pliki zmienione dziś w katalogu aplikacji (find /var/www -mtime -1 -type f),
• zobaczyć historię poleceń użytkownika po incydencie (cat ~/.bash_history | less, z zachowaniem zasad forensic).

Jeśli na większość odpowiedź brzmi „eee, pewnie bym wyklikał w GUI”, to twoja luka kompetencyjna w obszarze Linux/CLI jest realnym ryzykiem bezpieczeństwa – dla ciebie i dla firmy.

Twoje narzędzia vs ich tryby

Przejrzyj swoje ulubione narzędzia bezpieczeństwa i zadaj sobie pytanie: czy znasz ich CLI mode? Przykłady:

• nmap – poza „scan” w GUI, opanowałeś skrypty NSE pod konkretne podatności?
• Metasploit – korzystasz z msfconsole czy klikasz po jakimś front-endzie?
• tcpdump – jesteś w stanie przechwycić ruch na interfejsie i szybko go zgrubnie przeanalizować?

Uwaga: w wielu firmach podczas incydentu zdalny dostęp do GUI bywa niemożliwy (VPN nie działa, segmentacja sieci, tryb awaryjny). Dostajesz tylko SSH. To nie scenariusz z filmu – to normalny dzień pracy w IR.

Jak szybko nadrobić braki praktyczny plan

Zamiast kolejnego „Learn hacking in 10 days” na YouTube, zrób coś prostego i skutecznego:

• postaw VM z Kali Linux i drugą z „ofiarą” (np. Ubuntu Server),
• łącz się tylko przez ssh, żadnego GUI – tak pracuje się na produkcji,
• ćwicz podstawowe komendy systemowe (procesy, usługi, logi, sieć).

Wskazówka: na start wykorzystaj darmowe listy „awesome security / awesome infosec” z GitHuba – znajdziesz tam dziesiątki narzędzi, z których 90% ma primary interface w CLI.

Połącz naukę CLI z realnymi scenariuszami CVE

Zamiast „uczyć się komend”, ucz się ich przy okazji analizowania podatności:

• weź konkretną lukę (np. starą, ale dobrą CVE-2017-5638 w Apache Struts),
• znajdź POC, postaw podatną wersję w VM,
• użyj narzędzi CLI (nmap, curl, Metasploit) do wykonania exploita,
• potem na maszynie „ofiary” przeanalizuj skutki: logi, procesy, pliki – wszystko z terminala.

Ciekawostka: to dokładnie tak uczą się realni red teamerzy i blue teamerzy – nie z „kursu komend”, tylko z caseów.

Dołącz Linux CLI do swojego codziennego workflow

Aby nie wypaść z rytmu:

• rób część zadań developerskich/administracyjnych z terminala (git, docker, kubectl),
• używaj CLI do prostych analiz logów i requestów (np. API, serwisy web),
• przy każdym nowym narzędziu security – najpierw ogarnij wersję CLI, dopiero potem GUI.

Kluczowe kroki zabezpieczenia

Linux i terminal CLI to nie romantyczny rekwizyt z filmów o hakerach, ale absolutny fundament pracy w cybersecurity – od testów penetracyjnych, przez analizę incydentów, po codzienne utrzymanie bezpieczeństwa systemów operacyjnych.

Twoje następne kroki:

• Sprawdź, czy jesteś zagrożony – zrób sobie uczciwy audyt: ile potrafisz zrobić na serwerze Linux bez GUI?
• Jak się chronić – nadrobienie luki kompetencyjnej: własna piaskownica z Kali/ParrotOS, ćwiczenie realnych CVE, wejście w świat open source tools.
• Ustal minimum bezpieczeństwa – lista komend i narzędzi CLI, które każdy w twoim zespole musi znać (ps, netstat/ss, journalctl, systemctl, nmap, tcpdump, ssh, grep, find).

W świecie, w którym atakujący w kilka sekund ogarnia terminal na świeżo zhackowanym serwerze, brak znajomości Linux CLI nie jest już „niedogodnością”. To po prostu wektor ataku – tyle że po stronie obrońcy. Zabezpiecz swoje systemy już dziś. Każda minuta opóźnienia zwiększa ryzyko.