Aker SSH Gateway

Was ist Aker?

Aker ist ein Sicherheitstool, mit dem Sie Ihren eigenen Linux-SSH-Jump/Bastion-Host konfigurieren können. Benannt nach einer ägyptischen Mythologiegottheit, die die Grenzen bewachte, fungiert Aker als Engpass, durch den alle Ihre Systemadministratoren und Supportmitarbeiter auf Linux-Produktionsserver zugreifen. Das Aker-SSH-Gateway enthält viele Sicherheitsfunktionen, die Ihnen helfen, Tausende von Linux-Servern mühelos zu verwalten und zu administrieren. Für eine detaillierte Ansicht besuchen Sie unser Wiki

Motivation

Ich konnte kein Open-Source-Tool finden, das CryptoAuditor und fudo ähnelt. Solche Tools sind vorteilhaft, wenn Sie beispielsweise PCI-DSS- oder HIPAA-konform werden möchten. Unabhängig von der Einhaltung von Sicherheitsstandards sollte der Zugriff auf den Server kontrolliert und organisiert sein, sowohl für traditionelle als auch für Cloud-Workloads geeignet.

Aktuelle Funktionen

• Unterstützt FreeIPA 4.2, 4.3 und 4.4 (Optional)
• Erweiterbar, Schreiben Sie Ihr eigenes Modul
• Sitzungswiedergabe
• Sitzungsbefehle extrahieren
• SIEM-fähige JSON-Sitzungsprotokolle
• Elasticsearch-Integration

Roadmap

• Phase 0

  • Integration mit einem Identitätsanbieter (FreeIPA)
  • Erweiterbare modulare Struktur, eigenes Modul einstecken
  • Integration mit Konfigurationsverwaltungstools
  • Parsbare Audit-Logs (JSON, an Elasticsearch gesendet)
  • Hochverfügbarkeits-Setup
  • Sitzungswiedergabe

• Phase 1

  • Admin-WebUI
  • Live-Sitzungsüberwachung
  • Cloud-Unterstützung (AWS, OpenStack usw.) oder On-Premises-Bereitstellungen
  • Befehl filtern (Destruktive Befehle wie rm -rf verhindern)
  • Verschlüsselung der auf der Festplatte gespeicherten Sitzungsprotokolle.

• Phase 2

  • Unterstützung für die Überwachung grafischer Protokolle (RDP, VNC, X11)
  • Benutzerproduktivitäts-Dashboard

In Aktion sehen

Anforderungen

Software:

• Linux (Getestet auf CentOS, Fedora und Ubuntu)
• Python (Getestet auf 2.7)
• (Optional) FreeIPA, getestet auf FreeIPA 4.2 & 4.3
• redis

Python-Module:

• configparser
• urwid
• paramiko
• wcwidth
• pyte
• redis

Installation

• Automatisiert :

  • Verwenden Sie dieses Ansible-Playbook

• Manuell:

• Aker kann auf einem FreeIPA-Client oder unabhängig mit einer JSON-Konfigurationsdatei eingerichtet werden.

  • Gemeinsame Schritte (FreeIPA oder JSON):

    • Klonen Sie das Repository

    git clone https://github.com/aker-gateway/Aker.git /usr/bin/aker/
    

    • Installieren Sie Abhängigkeiten (für Ubuntu anpassen)

      yum -y install epel-release 
      yum -y install python2-paramiko python-configparser python-redis python-urwid python2-wcwidth redis
      

    • Setzen Sie ausführbare Berechtigungen für Dateien

      chmod 755 /usr/bin/aker/aker.py
      chmod 755 /usr/bin/aker/akerctl.py
      

    • Richten Sie das Log-Verzeichnis und Berechtigungen ein

      mkdir /var/log/aker
      chmod 777 /var/log/aker
      touch /var/log/aker/aker.log
      chmod 777 /var/log/aker/aker.log
      

    • Erzwingen von Aker für alle Benutzer außer root, bearbeiten Sie die sshd_config

      Match Group *,!root
      ForceCommand /usr/bin/aker/aker.py
      

    • Starten Sie SSH neu

    • Starten Sie Redis neu

  • FreeIPA auswählen:

    • Annahmen:

      • Der Aker-Server ist bereits in die FreeIPA-Domäne eingebunden

    • Erstellen Sie /etc/aker und kopieren Sie /usr/bin/aker/aker.ini hinein und bearbeiten Sie es wie folgt:

      ```
      [General]
      log_level = INFO
      ssh_port = 22
      
      # Identity Provider to determine the list of available hosts
      # options shipped are IPA, Json. Default is IPA
      idp = IPA
      hosts_file = /etc/aker/hosts.json
      
      # FreeIPA hostgroup name contatining Aker gateways
      # to be excluded from hosts presented to user
      gateway_group = gateways
      ```
      

  • JSON auswählen:

    • Erstellen Sie /etc/aker und kopieren Sie /usr/bin/aker/aker.ini hinein und bearbeiten Sie es wie folgt:

      ```
      [General]
      log_level = INFO
      ssh_port = 22
      
      # Identity Provider to determine the list of available hosts
      # options shipped are IPA, Json. Default is IPA
      idp = Json
      hosts_file = /etc/aker/hosts.json
      
      # FreeIPA hostgroup name contatining Aker gateways
      # to be excluded from hosts presented to user
      gateway_group = gateways
      ```
      

      • Bearbeiten Sie /etc/aker/hosts.json, um Benutzer und Hosts hinzuzufügen. Eine Beispiel-hosts.json-Datei wird bereitgestellt.

Mitwirken

Derzeit arbeite ich in meiner Freizeit am Code. Jegliche Unterstützung wird sehr geschätzt. Bitte lesen Sie CONTRIBUTING.md für Details zu unserem Verhaltenskodex und dem Prozess zum Einreichen von Pull-Requests.