Aker SSH Gateway

Was ist Aker?

Aker ist ein Sicherheitstool, mit dem Sie Ihren eigenen Linux-SSH-Jump/Bastion-Host konfigurieren können. Benannt nach einer ägyptischen Mythologiegottheit, die die Grenzen bewachte, fungiert Aker als Engpass, durch den alle Ihre Systemadministratoren und Supportmitarbeiter auf Linux-Produktionsserver zugreifen. Das Aker-SSH-Gateway enthält viele Sicherheitsfunktionen, die Ihnen helfen, Tausende von Linux-Servern mühelos zu verwalten und zu administrieren. Für eine detaillierte Ansicht besuchen Sie unser Wiki

Motivation

Ich konnte kein Open-Source-Tool finden, das CryptoAuditor und fudo ähnelt. Solche Tools sind vorteilhaft, wenn Sie beispielsweise PCI-DSS- oder HIPAA-konform werden möchten. Unabhängig von der Einhaltung von Sicherheitsstandards sollte der Zugriff auf den Server kontrolliert und organisiert sein, sowohl für traditionelle als auch für Cloud-Workloads geeignet.

Aktuelle Funktionen

• Unterstützt FreeIPA 4.2, 4.3 und 4.4 (Optional)
• Erweiterbar, Schreiben Sie Ihr eigenes Modul
• Sitzungswiedergabe
• Sitzungsbefehle extrahieren
• SIEM-fähige JSON-Sitzungsprotokolle
• Elasticsearch-Integration

Roadmap

• Phase 0

  • Integration mit einem Identitätsanbieter (FreeIPA)
  • Erweiterbare modulare Struktur, eigenes Modul einstecken
  • Integration mit Konfigurationsverwaltungstools
  • Parsbare Audit-Logs (JSON, an Elasticsearch gesendet)
  • Hochverfügbarkeits-Setup
  • Sitzungswiedergabe

• Phase 1

  • Admin-WebUI
  • Live-Sitzungsüberwachung
  • Cloud-Unterstützung (AWS, OpenStack usw.) oder On-Premises-Bereitstellungen
  • Befehl filtern (Destruktive Befehle wie rm -rf verhindern)
  • Verschlüsselung der auf der Festplatte gespeicherten Sitzungsprotokolle.

• Phase 2

  • Unterstützung für die Überwachung grafischer Protokolle (RDP, VNC, X11)
  • Benutzerproduktivitäts-Dashboard

In Aktion sehen

Anforderungen

Software:

• Linux (Getestet auf CentOS, Fedora und Ubuntu)
• Python (Getestet auf 2.7)
• (Optional) FreeIPA, getestet auf FreeIPA 4.2 & 4.3
• redis

Python-Module:

• configparser
• urwid
• paramiko
• wcwidth
• pyte
• redis

Installation

• Automatisiert :

  • Verwenden Sie dieses Ansible-Playbook

• Manuell:

• Aker kann auf einem FreeIPA-Client oder unabhängig mit einer JSON-Konfigurationsdatei eingerichtet werden.

  • Gemeinsame Schritte (FreeIPA oder JSON):

    • Klonen Sie das Repository
    root@kitploit:~

    git clone https://github.com/aker-gateway/Aker.git /usr/bin/aker/
    

    • Installieren Sie Abhängigkeiten (für Ubuntu anpassen)

      root@kitploit:~

      yum -y install epel-release 
      yum -y install python2-paramiko python-configparser python-redis python-urwid python2-wcwidth redis
      

    • Setzen Sie ausführbare Berechtigungen für Dateien

      root@kitploit:~

      chmod 755 /usr/bin/aker/aker.py
      chmod 755 /usr/bin/aker/akerctl.py
      

    • Richten Sie das Log-Verzeichnis und Berechtigungen ein

      root@kitploit:~

      mkdir /var/log/aker
      chmod 777 /var/log/aker
      touch /var/log/aker/aker.log
      chmod 777 /var/log/aker/aker.log
      

    • Erzwingen von Aker für alle Benutzer außer root, bearbeiten Sie die sshd_config

      root@kitploit:~

      Match Group *,!root
      ForceCommand /usr/bin/aker/aker.py
      

    • Starten Sie SSH neu

    • Starten Sie Redis neu

  • FreeIPA auswählen:

    • Annahmen:

      • Der Aker-Server ist bereits in die FreeIPA-Domäne eingebunden

    • Erstellen Sie /etc/aker und kopieren Sie /usr/bin/aker/aker.ini hinein und bearbeiten Sie es wie folgt:

      root@kitploit:~

      ```
      [General]
      log_level = INFO
      ssh_port = 22
      
      # Identity Provider to determine the list of available hosts
      # options shipped are IPA, Json. Default is IPA
      idp = IPA
      hosts_file = /etc/aker/hosts.json
      
      # FreeIPA hostgroup name contatining Aker gateways
      # to be excluded from hosts presented to user
      gateway_group = gateways
      ```
      

Mitwirken

Derzeit arbeite ich in meiner Freizeit am Code. Jegliche Unterstützung wird sehr geschätzt. Bitte lesen Sie CONTRIBUTING.md für Details zu unserem Verhaltenskodex und dem Prozess zum Einreichen von Pull-Requests.