Aker SSH Gateway

Aker란 무엇인가?

Aker는 자체 Linux SSH 점프/배스천 호스트를 구성하는 데 도움을 주는 보안 도구입니다. 이집트 신화에서 경계를 지키는 신의 이름을 따서 명명된 Aker는 모든 시스템 관리자와 지원 직원이 Linux 프로덕션 서버에 액세스할 때 통과해야 하는 병목 지점 역할을 합니다. Aker SSH 게이트웨이는 수천 대의 Linux 서버를 쉽게 관리하고 관리할 수 있도록 도와주는 많은 보안 기능을 포함하고 있습니다. 자세한 내용은 Wiki를 확인하세요.

동기

CryptoAuditor 및 fudo와 유사한 오픈 소스 도구를 찾을 수 없었습니다. 이러한 도구는 예를 들어 PCI-DSS 또는 HIPAA 규정 준수를 목표로 하는 경우 유용하며, 보안 표준 준수 여부와 관계없이 서버에 대한 액세스는 전통적 및 클라우드 워크로드 모두에 편리한 방식으로 제어되고 구성되어야 합니다.

현재 기능

• FreeIPA 4.2, 4.3 및 4.4 지원 (선택 사항)
• 확장 가능, 자체 모듈 작성
• 세션 재생
• 세션 명령 추출
• SIEM-준비 JSON 세션 로그
• Elasticsearch 통합

로드맵

• Phase 0

  • ID 제공자 (FreeIPA)와의 통합
  • 확장 가능한 모듈식 구조, 자체 모듈 플러그인 가능
  • 구성 관리 도구와의 통합
  • 구문 가능한 감사 로그 (json, Elasticsearch로 전송)
  • 고가용성 설정
  • 세션 재생

• Phase 1

  • 관리 WebUI
  • 실시간 세션 모니터링
  • 클라우드 지원 (AWS, OpenStack 등) 또는 온프레미스 배포
  • 명령 필터링 (rm -rf와 같은 파괴적 명령 방지)
  • 디스크에 저장된 세션 로그 암호화

• Phase 2

  • 그래픽 프로토콜 (RDP, VNC, X11) 모니터링 지원
  • 사용자 생산성 대시보드

실제 작동 모습

요구 사항

소프트웨어:

• Linux (CentOS, Fedora 및 Ubuntu에서 테스트 완료)
• Python (2.7에서 테스트 완료)
• (선택 사항) FreeIPA, FreeIPA 4.2 및 4.3에서 테스트 완료
• redis

Python 모듈:

• configparser
• urwid
• paramiko
• wcwidth
• pyte
• redis

설치

• 자동 설치:

  • 이 ansible 플레이북 사용

• 수동 설치:

• Aker는 FreeIPA 클라이언트에 설치하거나 json 구성 파일을 사용하여 독립적으로 설정할 수 있습니다.

  • 공통 단계 (FreeIPA 또는 Json):

    • 저장소 복제
    root@kitploit:~

    git clone https://github.com/aker-gateway/Aker.git /usr/bin/aker/
    

    • 종속성 설치 (Ubuntu에 맞게 조정)

      root@kitploit:~

      yum -y install epel-release 
      yum -y install python2-paramiko python-configparser python-redis python-urwid python2-wcwidth redis
      

    • 실행 권한 설정

      root@kitploit:~

      chmod 755 /usr/bin/aker/aker.py
      chmod 755 /usr/bin/aker/akerctl.py
      

    • 로그 디렉토리 및 권한 설정

      root@kitploit:~

      mkdir /var/log/aker
      chmod 777 /var/log/aker
      touch /var/log/aker/aker.log
      chmod 777 /var/log/aker/aker.log
      

    • root를 제외한 모든 사용자에 대해 aker 적용, sshd_config 편집

      root@kitploit:~

      Match Group *,!root
      ForceCommand /usr/bin/aker/aker.py
      

    • SSH 재시작

    • redis 재시작

  • FreeIPA 선택:

    • 가정:

      • Aker 서버가 이미 FreeIPA 도메인에 가입되어 있음

    • /etc/aker 생성하고 /usr/bin/aker/aker.ini를 복사한 후 아래와 같이 편집:

      root@kitploit:~

      [General]
      log_level = INFO
      ssh_port = 22
      
      # 사용 가능한 호스트 목록을 결정하는 ID 제공자
      # 제공되는 옵션: IPA, Json. 기본값은 IPA
      idp = IPA
      hosts_file = /etc/aker/hosts.json
      
      # 사용자에게 표시되는 호스트에서 제외할 Aker 게이트웨이가 포함된 FreeIPA 호스트 그룹
      gateway_group = gateways
      

기여

현재 여가 시간에 코드를 작업하고 있으며, 모든 도움을 크게 환영합니다. 행동 강령 및 풀 리퀘스트 제출 절차에 대한 자세한 내용은 CONTRIBUTING.md를 읽어주세요.