مدقق SSH

الميزات

سيقوم ssh-auditor تلقائيًا:

• إعادة فحص جميع المضيفين المعروفين عند إضافة بيانات اعتماد جديدة. سيقوم فقط بفحص بيانات الاعتماد الجديدة.
• وضع مسح كامل لبيانات الاعتماد في قائمة الانتظار لأي مضيف جديد يتم اكتشافه.
• وضع مسح كامل لبيانات الاعتماد في قائمة الانتظار لأي مضيف معروف يتغير إصدار SSH أو بصمة مفتاحه.
• محاولة تنفيذ الأوامر بالإضافة إلى محاولة إنشاء نفق لاتصال TCP.
• إعادة فحص كل بيانات اعتماد باستخدام scan_interval لكل بيانات اعتماد - الافتراضي 14 يومًا.

تم تصميمه بحيث يمكنك تشغيل ssh-auditor discover + ssh-auditor scan من cron كل ساعة لإجراء تدقيق مستمر.

عروض توضيحية

عرض توضيحي سابق يظهر جميع الميزات

عرض توضيحي يظهر تحسين إخراج السجل

الاستخدام

تثبيت

$ brew install go # أو بأي طريقة تريد لتثبيت مترجم Go
$ go get github.com/ncsa/ssh-auditor

أو بناء من استنساخ git

$ go build

بناء ملف ثنائي ثابت يتضمن sqlite

$ make static

تأكد من أنك تستطيع استخدام عدد كافٍ من واصفات الملفات

$ ulimit -n 4096

إنشاء قاعدة بيانات أولية واكتشاف خوادم SSH

$ ./ssh-auditor discover -p 22 -p 2222 192.168.1.0/24 10.0.0.1/24

إضافة أزواج بيانات اعتماد للفحص

$ ./ssh-auditor addcredential root root
$ ./ssh-auditor addcredential admin admin
$ ./ssh-auditor addcredential guest guest --scan-interval 1 # فحص هذا مرة واحدة يوميًا

تجربة بيانات الاعتماد على المضيفين المكتشفين

$ ./ssh-auditor scan

إخراج تقرير عن بيانات الاعتماد التي نجحت

$ ./ssh-auditor vuln

إعادة فحص بيانات الاعتماد التي نجحت

$ ./ssh-auditor rescan

إخراج تقرير عن استخدام المفاتيح المكررة

$ ./ssh-auditor dupes

المهام المتبقية

• تحديث جدول 'تغييرات المضيف'
• التعامل مع الإيجابيات الخاطئة من الأجهزة التي لا تستخدم مصادقة كلمة مرور SSH ولكنها تستخدم الغلاف (shell) للقيام بذلك.
• أوقات إعادة فحص متغيرة - كل بيانات اعتماد لها scan_interval بالأيام
• دعم أفضل للمنافذ غير القياسية - discover هو الشيء الوحيد الذي يحتاج إلى تحديث، والباقي لا يهم.
• إمكانية التحويل إلى خدمة خلفية (daemon) وإضافة واجهة برمجة تطبيقات (API) يمكن لـ bro الارتباط بها لبدء اكتشاف بمجرد اكتشاف خادم SSH جديد.
• جعل التخزين قابلًا للتوصيل (mysql, postgresql).
• التمييز بين محاولة كلمة مرور فاشلة واتصال فاشل أو انتهاء مهلة. تم إنجازه إلى حد كبير. أشياء مثل fail2ban تعقد هذا الأمر.
• إضافة تطبيقات Go لأمر تقرير sqlite3.

استعلام التقرير.

هذا الاستعلام الذي يقوم ssh-auditor vuln بتشغيله هو

select
        hc.hostport, hc.user, hc.password, hc.result, hc.last_tested, h.version
 from
        host_creds hc, hosts h
 where
        h.hostport = hc.hostport
 and    result!='' order by last_tested asc