Aker SSH Gateway

¿Qué es Aker?

Aker es una herramienta de seguridad que te ayuda a configurar tu propio host de salto/bastión SSH en Linux. Nombrado en honor a una deidad de la mitología egipcia que custodiaba las fronteras, Aker actúa como un punto de estrangulamiento a través del cual todos tus administradores de sistemas y personal de soporte acceden a los servidores de producción Linux. La puerta de enlace SSH de Aker incluye muchas características de seguridad que te ayudarán a gestionar y administrar miles de servidores Linux con facilidad. Para una vista detallada, consulta nuestra Wiki

Motivación

No pude encontrar una herramienta de código abierto similar a CryptoAuditor y fudo. Dichas herramientas son beneficiosas si buscas cumplir con estándares como PCI-DSS o HIPAA, por ejemplo. Independientemente del cumplimiento de normas de seguridad, el acceso al servidor debe controlarse y organizarse de manera conveniente tanto para cargas de trabajo tradicionales como en la nube.

Funcionalidades actuales

• Compatible con FreeIPA 4.2, 4.3 y 4.4 (Opcional)
• Extensible: Escribe tu propio módulo
• Reproducción de sesiones
• Extracción de comandos de sesión
• Registros de sesión en formato JSON listos para SIEM
• Integración con Elasticsearch

Hoja de ruta

• Fase 0

  • Integración con un proveedor de identidad (FreeIPA)
  • Estructura modular extensible, conecta tu propio módulo
  • Integración con herramientas de gestión de configuración
  • Registros de auditoría analizables (JSON, enviados a Elasticsearch)
  • Configuración de alta disponibilidad
  • Reproducción de sesiones

• Fase 1

  • Interfaz web de administración
  • Monitorización de sesiones en vivo
  • Soporte en la nube (AWS, OpenStack, etc.) o implementaciones on-premises
  • Filtrado de comandos (Prevenir comandos destructivos como rm -rf)
  • Cifrado de registros de sesión almacenados en disco.

• Fase 2

  • Soporte para monitoreo de protocolos gráficos (RDP, VNC, X11)
  • Panel de productividad del usuario

Vélo en acción

Requisitos

Software:

• Linux (Probado en CentOS, Fedora y Ubuntu)
• Python (Probado en 2.7)
• (Opcional) FreeIPA, probado en FreeIPA 4.2 y 4.3
• redis

Módulos de Python:

• configparser
• urwid
• paramiko
• wcwidth
• pyte
• redis

Instalación

• Automatizada :

  • Usa este playbook de Ansible

• Manualmente:

• Aker puede configurarse en un cliente FreeIPA o de forma independiente usando un archivo de configuración JSON.

  • Pasos comunes (FreeIPA o JSON):

    • Clona el repositorio
    root@kitploit:~

    git clone https://github.com/aker-gateway/Aker.git /usr/bin/aker/
    

    • Instala las dependencias (adaptar para Ubuntu)

      root@kitploit:~

      yum -y install epel-release 
      yum -y install python2-paramiko python-configparser python-redis python-urwid python2-wcwidth redis
      

    • Establece permisos de ejecución de archivos

      root@kitploit:~

      chmod 755 /usr/bin/aker/aker.py
      chmod 755 /usr/bin/aker/akerctl.py
      

    • Configura el directorio de logs y permisos

      root@kitploit:~

      mkdir /var/log/aker
      chmod 777 /var/log/aker
      touch /var/log/aker/aker.log
      chmod 777 /var/log/aker/aker.log
      

    • Aplica obligatoriamente aker a todos los usuarios excepto root; edita sshd_config

      root@kitploit:~

      Match Group *,!root
      ForceCommand /usr/bin/aker/aker.py
      

    • Reinicia ssh

    • Reinicia redis

  • Elegir FreeIPA:

    • Suposiciones:

      • El servidor Aker ya está inscrito en el dominio FreeIPA

    • Crea /etc/aker y copia /usr/bin/aker/aker.ini en él y edítalo como se muestra a continuación:

      root@kitploit:~

      ```
      [General]
      log_level = INFO
      ssh_port = 22
      
      # Proveedor de identidad para determinar la lista de hosts disponibles
      # las opciones incluidas son IPA, Json. El valor por defecto es IPA
      idp = IPA
      hosts_file = /etc/aker/hosts.json
      
      # Nombre del grupo de hosts de FreeIPA que contiene las puertas de enlace Aker
      # para excluir de los hosts presentados al usuario
      gateway_group = gateways
      ```
      

Contribuir

Actualmente trabajo en el código en mi tiempo libre; cualquier ayuda es muy apreciada. Por favor, lee CONTRIBUTING.md para obtener detalles sobre nuestro código de conducta y el proceso para enviar solicitudes de extracción.