SSH Auditor

Funktionen

ssh-auditor automatisiert Folgendes:

• Überprüft alle bekannten Hosts erneut, sobald neue Anmeldedaten hinzugefügt werden. Dabei werden nur die neuen Anmeldedaten geprüft.
• Stellt eine vollständige Überprüfung der Anmeldedaten für jeden neu entdeckten Host in die Warteschlange.
• Stellt eine vollständige Überprüfung der Anmeldedaten für jeden bekannten Host in die Warteschlange, dessen SSH-Version oder Schlüsselfingerabdruck sich ändert.
• Versucht die Ausführung von Befehlen sowie das Tunneln einer TCP-Verbindung.
• Überprüft jede Anmeldedatum erneut unter Verwendung eines pro Anmeldedatum festgelegten scan_interval – Standard 14 Tage.

Es ist so konzipiert, dass Sie ssh-auditor discover + ssh-auditor scan jede Stunde per cron ausführen können, um eine kontinuierliche Prüfung durchzuführen.

Demos

Ältere Demo, die alle Funktionen zeigt

Demo mit verbesserter Protokollausgabe

Verwendung

Installation

$ brew install go # or however you want to install the go compiler
$ go get github.com/ncsa/ssh-auditor

Oder aus einem Git-Klon erstellen

$ go build

Statische Binärdatei inklusive SQLite erstellen

$ make static

Sicherstellen, dass ausreichend Dateideskriptoren zur Verfügung stehen

$ ulimit -n 4096

Erste Datenbank erstellen und SSH-Server entdecken

$ ./ssh-auditor discover -p 22 -p 2222 192.168.1.0/24 10.0.0.1/24

Anmeldedatenpaare zum Überprüfen hinzufügen

$ ./ssh-auditor addcredential root root
$ ./ssh-auditor addcredential admin admin
$ ./ssh-auditor addcredential guest guest --scan-interval 1 #check this once per day

Anmeldedaten gegen entdeckte Hosts testen

$ ./ssh-auditor scan

Bericht darüber ausgeben, welche Anmeldedaten funktioniert haben

$ ./ssh-auditor vuln

Erfolgreiche Anmeldedaten erneut prüfen

$ ./ssh-auditor rescan

Bericht über doppelte Schlüsselverwendung ausgeben

$ ./ssh-auditor dupes

TODO

• Tabelle 'host changes' aktualisieren
• Falschmeldungen von Geräten behandeln, die keine SSH-Passwort-Authentifizierung verwenden, sondern stattdessen die Shell dafür nutzen.
• variable Wiederholungszeiten – jede Anmeldedatum hat ein scan_interval in Tagen
• bessere Unterstützung für nicht standardmäßige Ports – nur discover muss aktualisiert werden, der Rest ist nicht betroffen.
• möglicherweise als Daemon ausführen und eine API hinzufügen, in die Bro einhaken kann, um eine Entdeckung zu starten, sobald ein neuer SSH-Server erkannt wird.
• Speicher austauschbar machen (MySQL, PostgreSQL).
• zwischen einem fehlgeschlagenen Passwortversuch und einer fehlgeschlagenen Verbindung oder Zeitüberschreitung unterscheiden. Größtenteils erledigt. Dinge wie fail2ban erschweren dies.
• Go-Implementierungen für den Berichtsbefehl sqlite3 hinzufügen.

Berichtsabfrage.

Diese Abfrage, die ssh-auditor vuln ausführt, lautet:

select
        hc.hostport, hc.user, hc.password, hc.result, hc.last_tested, h.version
 from
        host_creds hc, hosts h
 where
        h.hostport = hc.hostport
 and    result!='' order by last_tested asc