Passerelle SSH Aker

Qu'est-ce que Aker ?

Aker est un outil de sécurité qui vous aide à configurer votre propre serveur de saut/bastion SSH Linux. Nommé d'après une divinité de la mythologie égyptienne qui gardait les frontières, Aker agirait comme un point de contrôle par lequel tous vos administrateurs système et personnel de support accèdent aux serveurs de production Linux. La passerelle SSH Aker comprend de nombreuses fonctionnalités de sécurité qui vous aideraient à gérer et administrer facilement des milliers de serveurs Linux. Pour un aperçu détaillé, consultez notre Wiki

Motivation

Je n'ai pas trouvé d'outil open source similaire à CryptoAuditor et fudo, de tels outils sont bénéfiques si vous cherchez à devenir conforme PCI-DSS ou HIPAA par exemple, indépendamment de la conformité aux normes de sécurité, l'accès au serveur doit être contrôlé et organisé d'une manière pratique pour les charges de travail traditionnelles et cloud.

Fonctionnalités actuelles

• Prend en charge FreeIPA 4.2, 4.3 et 4.4 (Optionnel)
• Extensible, Écrivez votre propre module
• Relecture de session
• Extraire les commandes de session
• Journaux de session JSON prêts pour SIEM
• Intégration Elasticsearch

Feuille de route

• Phase 0

  • Intégration avec un fournisseur d'identité (FreeIPA)
  • Structure modulaire extensible, branchez votre propre module
  • Intégration avec des outils de gestion de configuration
  • Journaux d'audit analysables (json, expédiés vers Elasticsearch)
  • Configuration hautement disponible
  • Relecture de session

• Phase 1

  • Interface d'administration Web
  • Surveillance des sessions en direct
  • Support cloud (AWS, OpenStack, etc.) ou déploiements sur site
  • Filtrage des commandes (Empêcher les commandes destructrices comme rm -rf)
  • Chiffrement des journaux de session stockés sur disque.

• Phase 2

  • Prise en charge de la surveillance des protocoles graphiques (RDP, VNC, X11)
  • Tableau de bord de productivité utilisateur

Voyez-le en action

Prérequis

Logiciel :

• Linux (Testé sur CentOS, Fedora et Ubuntu)
• Python (Testé sur 2.7)
• (Optionnel) FreeIPA, testé sur FreeIPA 4.2 et 4.3
• redis

Modules Python :

• configparser
• urwid
• paramiko
• wcwidth
• pyte
• redis

Installation

• Automatisé :

  • Utilisez ce playbook Ansible

• Manuellement :

• Aker peut être configuré sur un client FreeIPA ou indépendamment en utilisant un fichier de configuration json.

  • Étapes communes (FreeIPA ou Json) :

    • Clonez le dépôt
    root@kitploit:~

    git clone https://github.com/aker-gateway/Aker.git /usr/bin/aker/
    

    • Installez les dépendances (adaptez pour Ubuntu)

      root@kitploit:~

      yum -y install epel-release 
      yum -y install python2-paramiko python-configparser python-redis python-urwid python2-wcwidth redis
      

    • Définir les permissions exécutables des fichiers

      root@kitploit:~

      chmod 755 /usr/bin/aker/aker.py
      chmod 755 /usr/bin/aker/akerctl.py
      

    • Configurer le répertoire de logs et les permissions

      root@kitploit:~

      mkdir /var/log/aker
      chmod 777 /var/log/aker
      touch /var/log/aker/aker.log
      chmod 777 /var/log/aker/aker.log
      

    • Appliquer aker à tous les utilisateurs sauf root, modifiez sshd_config

      root@kitploit:~

      Match Group *,!root
      ForceCommand /usr/bin/aker/aker.py
      

    • Redémarrer ssh

    • Redémarrer redis

  • Choix de FreeIPA :

    • Hypothèses :

      • Le serveur Aker est déjà inscrit dans le domaine FreeIPA

    • Créez /etc/aker et copiez /usr/bin/aker/aker.ini dedans et éditez-le comme ci-dessous :

      root@kitploit:~

      ```
      [General]
      log_level = INFO
      ssh_port = 22
      
      # Identity Provider to determine the list of available hosts
      # options shipped are IPA, Json. Default is IPA
      idp = IPA
      hosts_file = /etc/aker/hosts.json
      
      # FreeIPA hostgroup name contatining Aker gateways
      # to be excluded from hosts presented to user
      gateway_group = gateways
      ```
      

Contribuer

Actuellement, je travaille sur le code pendant mon temps libre, toute aide est grandement appréciée. Veuillez lire CONTRIBUTING.md pour plus de détails sur notre code de conduite et le processus de soumission de pull requests.