SSH ऑडिटर

विशेषताएँ

ssh-auditor स्वचालित रूप से:

• सभी ज्ञात होस्टों को फिर से जाँचेगा जब नए क्रेडेंशियल जोड़े जाते हैं। यह केवल नए क्रेडेंशियल की जाँच करेगा।
• किसी भी नए खोजे गए होस्ट पर पूर्ण क्रेडेंशियल स्कैन को कतारबद्ध करेगा।
• किसी भी ज्ञात होस्ट पर पूर्ण क्रेडेंशियल स्कैन को कतारबद्ध करेगा जिसका ssh संस्करण या कुंजी फिंगरप्रिंट बदलता है।
• कमांड निष्पादन के साथ-साथ TCP कनेक्शन टनल करने का प्रयास करेगा।
• प्रत्येक क्रेडेंशियल को प्रति क्रेडेंशियल scan_interval - डिफ़ॉल्ट 14 दिनों का उपयोग करके फिर से जाँचेगा।

यह इस प्रकार डिज़ाइन किया गया है कि आप हर घंटे cron से ssh-auditor discover + ssh-auditor scan चलाकर निरंतर ऑडिट कर सकते हैं।

डेमो

सभी सुविधाओं को दिखाने वाला पिछला डेमो

बेहतर लॉग आउटपुट दिखाने वाला डेमो

उपयोग

स्थापित करें

$ brew install go # या जैसे चाहें go कंपाइलर स्थापित करें
$ go get github.com/ncsa/ssh-auditor

या git क्लोन से बनाएँ

$ go build

sqlite सहित स्थैतिक बाइनरी बनाएँ

$ make static

पर्याप्त फ़ाइल डिस्क्रिप्टर का उपयोग सुनिश्चित करें

$ ulimit -n 4096

प्रारंभिक डेटाबेस बनाएँ और ssh सर्वर खोजें

$ ./ssh-auditor discover -p 22 -p 2222 192.168.1.0/24 10.0.0.1/24

जाँचने के लिए क्रेडेंशियल जोड़ें

$ ./ssh-auditor addcredential root root
$ ./ssh-auditor addcredential admin admin
$ ./ssh-auditor addcredential guest guest --scan-interval 1 #इसे एक बार प्रति दिन जाँचें

खोजे गए होस्ट पर क्रेडेंशियल आज़माएँ

$ ./ssh-auditor scan

काम करने वाले क्रेडेंशियल पर रिपोर्ट आउटपुट करें

$ ./ssh-auditor vuln

काम करने वाले क्रेडेंशियल फिर से जाँचें

$ ./ssh-auditor rescan

डुप्लीकेट कुंजी उपयोग पर रिपोर्ट आउटपुट करें

$ ./ssh-auditor dupes

बाकी काम

• 'host changes' तालिका को अपडेट करें
• उन उपकरणों से झूठी सकारात्मकता को संभालें जो ssh पासवर्ड प्रमाणीकरण का उपयोग नहीं करते बल्कि इसके बजाय शेल का उपयोग करते हैं।
• परिवर्तनीय पुनः जाँच समय - प्रत्येक क्रेडेंशियल का scan_interval दिनों में होता है
• गैर-मानक पोर्ट के लिए बेहतर समर्थन - discover ही एकमात्र चीज़ है जिसे अपडेट करने की आवश्यकता है, बाकी को कोई फर्क नहीं पड़ता।
• संभवतः डेमोनाइज़ करें और एक API जोड़ें जिससे bro जुड़ सके और नए SSH सर्वर का पता चलते ही discover शुरू कर सके।
• स्टोर को प्लग करने योग्य बनाएं (mysql, postgresql)।
• विफल पासवर्ड प्रयास और विफल कनेक्शन या टाइमआउट के बीच अंतर करें। अधिकतर हो गया। fail2ban जैसी चीज़ें इसे जटिल बनाती हैं।
• रिपोर्ट sqlite3 कमांड के लिए go कार्यान्वयन जोड़ें।

रिपोर्ट क्वेरी।

यह क्वेरी जो ssh-auditor vuln चलाती है वह है:

select
        hc.hostport, hc.user, hc.password, hc.result, hc.last_tested, h.version
 from
        host_creds hc, hosts h
 where
        h.hostport = hc.hostport
 and    result!='' order by last_tested asc