SSH Auditor

特徴

ssh-auditor は自動的に以下を行います:

• 新しい認証情報が追加されると、既知のすべてのホストを再チェックします。新しい認証情報のみをチェックします。
• 新しく発見されたホストに対して、完全な認証情報スキャンをキューに入れます。
• SSHバージョンまたは鍵フィンガープリントが変更された既知のホストに対して、完全な認証情報スキャンをキューに入れます。
• コマンド実行の試行に加えて、TCP接続のトンネリングも試行します。
• 各認証情報を、認証情報ごとの scan_interval（デフォルト14日）を使用して再チェックします。

cronから毎時 ssh-auditor discover + ssh-auditor scan を実行して、継続的な監査を実行できるように設計されています。

デモ

すべての機能を示す以前のデモ

改善されたログ出力を示すデモ

使用方法

インストール

$ brew install go # or however you want to install the go compiler
$ go get github.com/ncsa/ssh-auditor

またはgit cloneからビルド

$ go build

sqliteを含む静的バイナリのビルド

$ make static

十分なファイルディスクリプタを使用できることを確認

$ ulimit -n 4096

初期データベースを作成し、SSHサーバーを発見

$ ./ssh-auditor discover -p 22 -p 2222 192.168.1.0/24 10.0.0.1/24

チェックする認証情報ペアを追加

$ ./ssh-auditor addcredential root root
$ ./ssh-auditor addcredential admin admin
$ ./ssh-auditor addcredential guest guest --scan-interval 1 #check this once per day

発見されたホストに対して認証情報を試行

$ ./ssh-auditor scan

成功した認証情報のレポートを出力

$ ./ssh-auditor vuln

成功した認証情報を再チェック

$ ./ssh-auditor rescan

重複鍵使用のレポートを出力

$ ./ssh-auditor dupes

TODO

• 'host changes' テーブルを更新
• SSHパスワード認証を使用せず、代わりにシェルを使用して認証を行うデバイスからの誤検知を処理
• 可変再チェック時間 - 各認証情報には日数のscan_intervalがある
• 非標準ポートのサポート改善 - discoverのみ更新が必要で、他は気にしない。
• デーモン化し、Broが新しいSSHサーバーを検出したらすぐにdiscoverを開始できるAPIを追加する可能性
• ストレージをプラグイン可能にする (mysql, postgresql)
• パスワード試行失敗と接続失敗またはタイムアウトを区別。ほぼ完了。fail2banのようなものがこれを複雑にする。
• レポートsqlite3コマンドのGo実装を追加

レポートクエリ

ssh-auditor vuln が実行するこのクエリは次の通りです:

select
        hc.hostport, hc.user, hc.password, hc.result, hc.last_tested, h.version
 from
        host_creds hc, hosts h
 where
        h.hostport = hc.hostport
 and    result!='' order by last_tested asc