Aker SSH Gateway

Cos'è Aker?

Aker è uno strumento di sicurezza che ti aiuta a configurare il tuo host Linux ssh jump/bastion. Chiamato come una divinità della mitologia egizia che custodiva i confini, Aker agisce come punto di strozzatura attraverso il quale tutti i tuoi amministratori di sistema e personale di supporto accedono ai server di produzione Linux. Il gateway SSH Aker include molte funzionalità di sicurezza che ti aiutano a gestire e amministrare migliaia di server Linux con facilità. Per uno sguardo dettagliato, consulta la nostra Wiki

Motivazione

Non ho trovato uno strumento open source simile a CryptoAuditor e fudo; tali strumenti sono utili se stai cercando di diventare conforme a PCI-DSS o HIPAA, per esempio. Indipendentemente dalla conformità agli standard di sicurezza, l'accesso al server dovrebbe essere controllato e organizzato in modo conveniente sia per i carichi di lavoro tradizionali che per quelli cloud.

Funzionalità attuali

• Supporta FreeIPA 4.2 , 4.3 e 4.4 (Opzionale)
• Estensibile, Scrivi il tuo modulo
• Riproduzione delle sessioni
• Estrazione dei comandi delle sessioni
• Log delle sessioni in formato JSON pronti per SIEM
• Integrazione con Elasticsearch

Roadmap

• Fase 0

  • Integrazione con un provider di identità (FreeIPA)
  • Struttura modulare estendibile, inserisci il tuo modulo
  • Integrazione con strumenti di gestione della configurazione
  • Log di audit analizzabili (json, inviati a Elasticsearch)
  • Configurazione ad alta disponibilità
  • Riproduzione delle sessioni

• Fase 1

  • Interfaccia Web di amministrazione
  • Monitoraggio delle sessioni in tempo reale
  • Supporto cloud (AWS, OpenStack ecc.) o distribuzioni on-premises
  • Filtraggio dei comandi (Prevenire comandi distruttivi come rm -rf)
  • Crittografare i log delle sessioni memorizzati su disco.

• Fase 2

  • Supporto per il monitoraggio di protocolli grafici (RDP, VNC, X11)
  • Dashboard di produttività utente

Vedi in azione

Requisiti

Software:

• Linux (Testato su CentOS, Fedora e Ubuntu)
• Python (Testato su 2.7)
• (Opzionale) FreeIPA, Testato su FreeIPA 4.2 & 4.3
• redis

Python Modules:

• configparser
• urwid
• paramiko
• wcwidth
• pyte
• redis

Installazione

• Automatizzato :

  • Usa questo playbook Ansible

• Manualmente:

• Aker può essere configurato su un client FreeIPA o indipendentemente usando un file di configurazione json.

  • Passaggi comuni (FreeIPA o Json):

    • Clona il repository
    root@kitploit:~

    git clone https://github.com/aker-gateway/Aker.git /usr/bin/aker/
    

    • Installa le dipendenze (adatta per Ubuntu)

      root@kitploit:~

      yum -y install epel-release 
      yum -y install python2-paramiko python-configparser python-redis python-urwid python2-wcwidth redis
      

    • Imposta i permessi eseguibili dei file

      root@kitploit:~

      chmod 755 /usr/bin/aker/aker.py
      chmod 755 /usr/bin/aker/akerctl.py
      

    • Configura la directory dei log e i permessi

      root@kitploit:~

      mkdir /var/log/aker
      chmod 777 /var/log/aker
      touch /var/log/aker/aker.log
      chmod 777 /var/log/aker/aker.log
      

    • Applica aker a tutti gli utenti tranne root, modifica sshd_config

      root@kitploit:~

      Match Group *,!root
      ForceCommand /usr/bin/aker/aker.py
      

    • Riavvia ssh

    • Riavvia redis

  • Scelta di FreeIPA:

    • Presupposti:

      • Il server Aker è già registrato nel dominio FreeIPA

    • Crea /etc/aker e copia /usr/bin/aker/aker.ini al suo interno e modificalo come segue:

      root@kitploit:~

      ```
      [General]
      log_level = INFO
      ssh_port = 22
      
      # Provider di identità per determinare l'elenco degli host disponibili
      # Le opzioni fornite sono IPA, Json. Il default è IPA
      idp = IPA
      hosts_file = /etc/aker/hosts.json
      
      # Nome del gruppo di host FreeIPA contenente i gateway Aker
      # da escludere dagli host presentati all'utente
      gateway_group = gateways
      ```
      

Contribuire

Attualmente lavoro al codice nel mio tempo libero, qualsiasi aiuto è molto apprezzato. Si prega di leggere CONTRIBUTING.md per i dettagli sul nostro codice di condotta e il processo per inviare pull request.