SSH Auditor

Fonctionnalités

ssh-auditor effectuera automatiquement :

• Revérifier tous les hôtes connus lorsque de nouveaux identifiants sont ajoutés. Il ne vérifiera que les nouveaux identifiants.
• Mettre en file d'attente un scan complet des identifiants sur tout nouvel hôte découvert.
• Mettre en file d'attente un scan complet des identifiants sur tout hôte connu dont la version SSH ou l'empreinte de clé change.
• Tenter l'exécution de commandes ainsi que de tunnelliser une connexion TCP.
• Revérifier chaque identifiant en utilisant un scan_interval par identifiant - par défaut 14 jours.

Il est conçu pour que vous puissiez exécuter ssh-auditor discover + ssh-auditor scan depuis cron toutes les heures pour effectuer un audit constant.

Démonstrations

Démonstration antérieure montrant toutes les fonctionnalités

Démonstration montrant une sortie de log améliorée

Utilisation

Installation

$ brew install go # ou toute autre manière d'installer le compilateur Go
$ go get github.com/ncsa/ssh-auditor

ou Construction à partir d'un clone git

$ go build

Construction d'un binaire statique incluant sqlite

$ make static

Assurez-vous de pouvoir utiliser suffisamment de descripteurs de fichiers

$ ulimit -n 4096

Créer la base de données initiale et découvrir les serveurs SSH

$ ./ssh-auditor discover -p 22 -p 2222 192.168.1.0/24 10.0.0.1/24

Ajouter des paires d'identifiants à vérifier

$ ./ssh-auditor addcredential root root
$ ./ssh-auditor addcredential admin admin
$ ./ssh-auditor addcredential guest guest --scan-interval 1 #vérifier une fois par jour

Essayer les identifiants sur les hôtes découverts

$ ./ssh-auditor scan

Générer un rapport sur les identifiants qui ont fonctionné

$ ./ssh-auditor vuln

Revérifier les identifiants qui ont fonctionné

$ ./ssh-auditor rescan

Générer un rapport sur l'utilisation de clés dupliquées

$ ./ssh-auditor dupes

À FAIRE

• mettre à jour la table 'host changes'
• gérer les faux positifs provenant de périphériques qui n'utilisent pas l'authentification par mot de passe SSH mais utilisent plutôt le shell pour le faire.
• temps de revérification variables - chaque identifiant a un scan_interval en jours
• meilleur support des ports non standards - seul discover doit être mis à jour, le reste n'a pas d'importance.
• éventuellement démoniser et ajouter une API que bro pourrait utiliser pour lancer un discover dès qu'un nouveau serveur SSH est détecté.
• rendre le stockage modulaire (mysql, postgresql).
• différencier entre une tentative de mot de passe échouée et une connexion échouée ou un délai d'attente. En grande partie fait. Des choses comme fail2ban compliquent cela.
• ajouter des implémentations Go pour la commande de rapport sqlite3.

Requête de rapport.

Cette requête que ssh-auditor vuln exécute est

select
        hc.hostport, hc.user, hc.password, hc.result, hc.last_tested, h.version
 from
        host_creds hc, hosts h
 where
        h.hostport = hc.hostport
 and    result!='' order by last_tested asc