SSH 감사기

기능

ssh-auditor는 자동으로 다음을 수행합니다:

• 새 자격 증명이 추가되면 모든 알려진 호스트를 다시 확인합니다. 새 자격 증명만 확인합니다.
• 발견된 새로운 호스트에 대해 전체 자격 증명 검사를 대기열에 추가합니다.
• ssh 버전 또는 키 지문이 변경된 모든 알려진 호스트에 대해 전체 자격 증명 검사를 대기열에 추가합니다.
• 명령 실행을 시도하고 TCP 연결 터널링도 시도합니다.
• 각 자격 증명에 대해 scan_interval을 사용하여 다시 확인합니다. 기본값은 14일입니다.

매시간 cron에서 ssh-auditor discover + ssh-auditor scan을 실행하여 지속적인 감사를 수행할 수 있도록 설계되었습니다.

데모

모든 기능을 보여주는 이전 데모

개선된 로그 출력을 보여주는 데모

사용법

설치

$ brew install go # 또는 원하는 방식으로 go 컴파일러 설치
$ go get github.com/ncsa/ssh-auditor

또는 git clone에서 빌드

$ go build

sqlite를 포함한 정적 바이너리 빌드

$ make static

충분한 파일 디스크립터를 사용할 수 있는지 확인

$ ulimit -n 4096

초기 데이터베이스 생성 및 SSH 서버 검색

$ ./ssh-auditor discover -p 22 -p 2222 192.168.1.0/24 10.0.0.1/24

확인할 자격 증명 쌍 추가

$ ./ssh-auditor addcredential root root
$ ./ssh-auditor addcredential admin admin
$ ./ssh-auditor addcredential guest guest --scan-interval 1 # 하루에 한 번 확인

발견된 호스트에 대해 자격 증명 시도

$ ./ssh-auditor scan

작동한 자격 증명에 대한 보고서 출력

$ ./ssh-auditor vuln

작동한 자격 증명 재확인

$ ./ssh-auditor rescan

중복 키 사용에 대한 보고서 출력

$ ./ssh-auditor dupes

할 일

• 'host changes' 테이블 업데이트
• SSH 비밀번호 인증을 사용하지 않고 대신 쉘을 사용하는 장치의 오탐 처리
• 가변 재확인 시간 - 각 자격 증명은 일 단위의 scan_interval을 가짐
• 비표준 포트 지원 개선 - discover만 업데이트하면 되며, 나머지는 신경 쓰지 않음
• 데몬화하고 Bro가 새로운 SSH 서버가 감지되면 발견을 시작할 수 있는 API 추가
• 저장소를 플러그인 가능하게 만들기 (mysql, postgresql)
• 실패한 비밀번호 시도와 실패한 연결 또는 시간 초과 구분. 대부분 완료됨. fail2ban과 같은 것이 이것을 복잡하게 만듦.
• report sqlite3 명령에 대한 Go 구현 추가

보고서 쿼리.

ssh-auditor vuln이 실행하는 이 쿼리는 다음과 같습니다.

select
        hc.hostport, hc.user, hc.password, hc.result, hc.last_tested, h.version
 from
        host_creds hc, hosts h
 where
        h.hostport = hc.hostport
 and    result!='' order by last_tested asc