"HASSH" - طريقة لتحليل بصمات عملاء وخوادم SSH.

"HASSH" هو معيار لبصمات الشبكات يمكن استخدامه لتحديد تطبيقات SSH محددة للعميل والخادم. يمكن تخزين هذه البصمات والبحث عنها ومشاركتها بسهولة في شكل بصمة MD5.

تم اختراع HASSH في Salesforce في عام 2018. ومع ذلك، لم يعد المشروع يُصان بشكل نشط من قبل Salesforce. يقوم منشئه الأصلي، Ben Reardon، بصيانة الفرع النشط في Corelight

كيف يمكن لـ HASSH المساعدة:

• الاستخدام في بيئات خاضعة للرقابة العالية ومفهومة جيدًا، حيث يمكن التنبيه على أي بصمات خارج مجموعة معروفة جيدة.
• من الممكن اكتشاف ومكافحة والتحقيق في محاولات كلمات المرور بالقوة الغاشمة أو حشو بيانات الاعتماد بمستوى دقة أعلى من عنوان IP المصدر - والذي قد يتأثر بـ NAT أو سلوك شبيه بالبوت نت. سيكون hassh سمة من سمات تطبيق العميل المحدد المستخدم، حتى لو تم إخفاء عنوان IP بواسطة NAT بحيث يتم مشاركته من قبل العديد من عملاء SSH الآخرين.
• اكتشاف تسريب البيانات الخفي داخل مكونات مجموعات خوارزميات العميل. في هذه الحالة، يمكن لعميل SSH مشفر خصيصًا إرسال بيانات خارجية من بيئة موثوقة إلى بيئة أقل موثوقية داخل سلسلة من حزم SSH_MSG_KEXINIT. في سيناريو مشابه لتسريب DNS المعروف، يمكن إرسال البيانات كسلسلة من محاولات الاتصال غير المكتملة وغير المسجلة بخادم SSH يتحكم فيه جهات ضارة يمكنها بعد ذلك تسجيل وفك تشفير وإعادة تجميع أجزاء البيانات هذه إلى شكلها الأصلي. حتى الآن، لم يتم تسجيل مثل هذه المحاولات - ناهيك عن محتويات الحزم النصية الواضحة - حتى بواسطة محللي الحزم المتقدمين أو في أنظمة نقاط النهاية. يمكن الآن إجراء اكتشاف هذا النمط من التسريب بسهولة باستخدام كشف الشذوذ أو التنبيه على عملاء SSH ذوي hassh متعددة مختلفة.
• الاستخدام بالتزامن مع مؤشرات سياقية أخرى، على سبيل المثال اكتشاف استكشاف الشبكة ومحاولات الحركة الجانبية بواسطة hassh غير عادية مثل تلك المستخدمة بواسطة Paramiko و PowerShell و Ruby و Meterpreter و Empire.
• مشاركة hassh الضارة كمؤشرات اختراق.
• إنشاء مستوى إضافي من التحكم في تطبيقات العميل، على سبيل المثال يمكن حظر جميع العملاء من الاتصال بخادم SSH خارج مجموعة معتمدة معروفة من قيم hassh.
• المساهمة في عدم التنصل في سياق الطب الشرعي - على مستوى تجريد أعلى من عنوان IP المصدر - والذي قد يتأثر بـ NAT، أو حيث يتم استخدام عناوين IP مصدر متعددة.
• اكتشاف التطبيقات الخادعة. على سبيل المثال قيمة hasshServer المعروفة بأنها تنتمي إلى تثبيت خادم honeypot Cowrie/Kippo SSH، الذي يدعي أنه خادم OpenSSH شائع في سلسلة الخادم.
• اكتشاف الأجهزة التي لديها hassh معروف بأنه ينتمي إلى أنظمة IOT المدمجة. قد تشمل الأمثلة كاميرات وميكروفونات ومسجلات مفاتيح وأجهزة تنصت يمكن إخفاؤها بسهولة عن الأنظار والتواصل بهدوء عبر القنوات المشفرة إلى خادم تحكم.

كيف يعمل HASSH:

"hassh" و"hasshServer" هما تجزئتان MD5 تم إنشاؤهما من مجموعة محددة من الخوارزميات التي تدعمها تطبيقات SSH المختلفة للعميل والخادم. يتم تبادل هذه الخوارزميات بعد المصافحة الثلاثية الأولية لـ TCP كحزم نصية واضحة تُعرف برسائل "SSH_MSG_KEXINIT"، وهي جزء لا يتجزأ من إعداد قناة SSH المشفرة النهائية. وجود وترتيب هذه الخوارزميات فريد بما يكفي بحيث يمكن استخدامه كبصمة للمساعدة في تحديد تطبيق العميل والخادم الأساسي أو التنفيذ الفريد، بغض النظر عن المعرفات الوصفية عالية المستوى مثل سلاسل "Client" أو "Server".

مثال 1: بصمة العميل - "hassh"

بالنسبة لعميل SFTP "Cyberduck" (تحديدًا SSH-2.0-Cyberduck/6.7.1.28683 (Mac OS X/10.13.6) (x86_64)"، مجموعة الخوارزميات المدعومة هي كما يلي:

دمج هذه الخوارزميات معًا مع فاصل ";" يعطي hasshAlgorithms، وهو مفيد للتحليل التفصيلي. [email protected],diffie-hellman-group-exchange-sha256,ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha1,diffie-hellman-group1-sha1,diffie-hellman-group14-sha1,diffie-hellman-group14-sha256,diffie-hellman-group15-sha512,diffie-hellman-group16-sha512,diffie-hellman-group17-sha512,diffie-hellman-group18-sha512,[email protected],diffie-hellman-group15-sha256,[email protected],[email protected],diffie-hellman-group16-sha256,[email protected],[email protected],[email protected];aes128-cbc,aes128-ctr,aes192-cbc,aes192-ctr,aes256-cbc,aes256-ctr,blowfish-cbc,blowfish-ctr,cast128-cbc,cast128-ctr,idea-cbc,idea-ctr,serpent128-cbc,serpent128-ctr,serpent192-cbc,serpent192-ctr,serpent256-cbc,serpent256-ctr,3des-cbc,3des-ctr,twofish128-cbc,twofish128-ctr,twofish192-cbc,twofish192-ctr,twofish256-cbc,twofish256-ctr,twofish-cbc,arcfour,arcfour128,arcfour256;hmac-sha1,hmac-sha1-96,hmac-md5,hmac-md5-96,hmac-sha2-256,hmac-sha2-512;[email protected],zlib,none

أخيرًا، hassh هو ببساطة MD5 الخاص بـ hasshAlgorithms، ويستخدم للتخزين والبحث والمشاركة. فيما يلي بعض الأمثلة:

de30354b88bae4c2810426614e1b6976 Powershell Renci.SshNet.SshClient.0.0.1 (مستخدم في وحدات Empire الاستغلالية) fafc45381bfde997b6305c4e1600f1bf Ruby/Net::SSH_5.0.2 x86_64-linux (مستخدم في وحدات Metasploit الاستغلالية) b5752e36ba6c5979a575e43178908adf Python Paramiko_2.4.1 (مستخدم في وحدات Metasploit الاستغلالية) 16f898dd8ed8279e1055350b4e20666c Dropbear_2012.55 (مستخدم في أنظمة IOT المدمجة) 8a8ae540028bf433cd68356c1b9e8d5b CyberDuck الإصدار 6.7.1 (28683) 06046964c022c6407d15a27b12a6a4fb OpenSSH_7.7p1 Ubuntu-4

مثال 2: بصمة الخادم - "hasshServer"

بالنسبة لخادم SSH قياسي SSH-2.0-OpenSSH_5.3، مجموعة الخوارزميات المدعومة هي كما يلي:

دمج هذه الخوارزميات معًا مع فاصل ";" يعطي hasshServerAlgorithms، وهو مفيد للتحليل التفصيلي. diffie-hellman-group-exchange-sha256,diffie-hellman-group-exchange-sha1,diffie-hellman-group14-sha1,diffie-hellman-group1-sha1;aes128-ctr,aes192-ctr,aes256-ctr,arcfour256,arcfour128,aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,aes192-cbc,aes256-cbc,arcfour,[email protected];hmac-md5,hmac-sha1,[email protected],hmac-ripemd160,[email protected],hmac-sha1-96,hmac-md5-96;none,[email protected]

أخيرًا، hasshServer هو ببساطة MD5 الخاص بـ hasshServerAlgorithms، فيما يلي بعض الأمثلة: c1c596caaeb93c566b8ecf3cae9b5a9e SSH-2.0-dropbear_2016.74 d93f46d063c4382b6232a4d77db532b2 SSH-2.0-dropbear_2016.72 2dd9a9b3dbebfaeec8b8aabd689e75d2 SSH-2.0-AWSCodeCommit 696e7f84ac571fdf8fa5073e64ee2dc8 SSH-2.0-FTP

المراجع:

• RFC4253 بروتوكول طبقة النقل الآمن (SSH)
• مدونة Salesforce الهندسية

الإسناد:

تم تصور وتطوير hassh و hasshServer بواسطة Ben Reardon (@benreardon) ضمن فريق Detection Cloud في Salesforce، مع الإلهام والمساهمات من Adel Karimi (@0x4d31) وفريق JA3: John B. Althouse و Jeff Atkinson و Josh Atkins