"HASSH" - SSH 클라이언트 및 서버용 프로파일링 방법.

"HASSH"는 특정 클라이언트 및 서버 SSH 구현을 식별하는 데 사용할 수 있는 네트워크 지문 표준입니다. 지문은 MD5 지문 형태로 쉽게 저장, 검색 및 공유할 수 있습니다.

HASSH는 2018년 Salesforce에서 발명되었습니다. 그러나 이 프로젝트는 더 이상 Salesforce에서 적극적으로 유지 관리되지 않습니다. 원래 제작자 Ben Reardon은 Corelight에서 활성 포크를 유지 관리하고 있습니다.

HASSH가 도움이 되는 사항:

• 잘 통제되고 잘 이해된 환경에서 사용하며, 알려진 양호한 세트 외부의 지문은 경고 대상입니다.
• NAT 또는 봇넷과 유사한 동작의 영향을 받을 수 있는 IP 소스보다 더 세분화된 수준에서 무차별 대입 또는 자격 증명 채우기 암호 시도를 탐지, 제어 및 조사할 수 있습니다. hassh는 NAT되어 많은 다른 SSH 클라이언트와 공유되는 IP인 경우에도 사용 중인 특정 클라이언트 소프트웨어 구현의 기능이 됩니다.
• 클라이언트 알고리즘 세트의 구성 요소 내에서 데이터의 은밀한 유출을 탐지합니다. 이 경우 특수 코딩된 SSH 클라이언트가 일련의 SSH_MSG_KEXINIT 패킷 내에서 신뢰된 환경에서 덜 신뢰된 환경으로 데이터를 외부로 보낼 수 있습니다. DNS를 통한 더 잘 알려진 유출과 유사한 시나리오에서 데이터는 악의적인 행위자가 제어하는 SSH 서버에 대한 일련의 시도되었지만 불완전하고 로그되지 않은 연결로 전송될 수 있으며, 행위자는 이 데이터를 기록, 디코딩 및 재구성하여 원래 형태로 복원할 수 있습니다. 지금까지 이러한 시도(일반 텍스트 패킷의 내용은 말할 것도 없고)는 성숙한 패킷 분석기나 엔드포인트 시스템에서도 로그되지 않았습니다. 이 스타일의 유출 탐지는 이제 여러 다른 hassh를 가진 SSH 클라이언트에 대한 이상 탐지 또는 경고를 사용하여 쉽게 수행할 수 있습니다.
• 다른 컨텍스트 지표와 함께 사용하여, 예를 들어 Paramiko, Powershell, Ruby, Meterpreter, Empire에서 사용되는 것과 같은 비정상적인 hassh를 통해 네트워크 검색 및 측면 이동 시도를 탐지합니다.
• 악성 hassh를 침해 지표로 공유합니다.
• 승인된 알려진 hassh 값 세트 외부의 모든 클라이언트가 SSH 서버에 연결하지 못하도록 차단하는 등 클라이언트 애플리케이션 제어의 추가 수준을 만듭니다.
• 포렌식 맥락에서 부인 방지에 기여합니다. IP 소스보다 더 높은 추상화 수준에서, NAT의 영향을 받거나 여러 IP 소스가 사용될 수 있습니다.
• 기만적인 애플리케이션을 탐지합니다. 예를 들어, 서버 문자열에서 일반적인 OpenSSH 서버인 척하는 Cowrie/Kippo SSH 허니팟 서버 설치에 속하는 것으로 알려진 hasshServer 값이 있습니다.
• IOT 임베디드 시스템에 속하는 것으로 알려진 hassh를 가진 장치를 탐지합니다. 예를 들어, 보기에서 쉽게 숨겨져 제어 서버로 암호화된 채널을 통해 조용히 통신하는 카메라, 마이크, 키로거, 도청 장치가 있을 수 있습니다.

HASSH 작동 방식:

"hassh"와 "hasshServer"는 다양한 SSH 클라이언트 및 서버 애플리케이션에서 지원하는 특정 알고리즘 세트로 구성된 MD5 해시입니다. 이러한 알고리즘은 초기 TCP 3방향 핸드셰이크 후에 "SSH_MSG_KEXINIT" 메시지로 알려진 일반 텍스트 패킷으로 교환되며, 최종 암호화된 SSH 채널 설정의 필수적인 부분입니다. 이러한 알고리즘의 존재와 순서는 "클라이언트" 또는 "서버" 문자열과 같은 상위 수준의 표면적 식별자와 관계없이 기본 클라이언트 및 서버 애플리케이션 또는 고유 구현을 식별하는 데 도움이 되는 지문으로 사용될 수 있을 만큼 충분히 고유합니다.

예제 1: 클라이언트 지문 - "hassh"

"Cyberduck" SFTP 클라이언트(특히 SSH-2.0-Cyberduck/6.7.1.28683 (Mac OS X/10.13.6) (x86_64))의 경우 지원되는 알고리즘 세트는 다음과 같습니다.

이러한 알고리즘을 구분자 ";"로 연결하면 hasshAlgorithms가 생성되며, 이는 상세 분석에 유용합니다.
[email protected],diffie-hellman-group-exchange-sha256,ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha1,diffie-hellman-group1-sha1,diffie-hellman-group14-sha1,diffie-hellman-group14-sha256,diffie-hellman-group15-sha512,diffie-hellman-group16-sha512,diffie-hellman-group17-sha512,diffie-hellman-group18-sha512,[email protected],diffie-hellman-group15-sha256,[email protected],[email protected],diffie-hellman-group16-sha256,[email protected],[email protected],[email protected];aes128-cbc,aes128-ctr,aes192-cbc,aes192-ctr,aes256-cbc,aes256-ctr,blowfish-cbc,blowfish-ctr,cast128-cbc,cast128-ctr,idea-cbc,idea-ctr,serpent128-cbc,serpent128-ctr,serpent192-cbc,serpent192-ctr,serpent256-cbc,serpent256-ctr,3des-cbc,3des-ctr,twofish128-cbc,twofish128-ctr,twofish192-cbc,twofish192-ctr,twofish256-cbc,twofish256-ctr,twofish-cbc,arcfour,arcfour128,arcfour256;hmac-sha1,hmac-sha1-96,hmac-md5,hmac-md5-96,hmac-sha2-256,hmac-sha2-512;[email protected],zlib,none

마지막으로 hassh는 hasshAlgorithms의 MD5이며, 저장, 검색 및 공유에 사용됩니다. 몇 가지 예는 다음과 같습니다.

de30354b88bae4c2810426614e1b6976 Powershell Renci.SshNet.SshClient.0.0.1 (Empire 익스플로잇 모듈에서 사용) fafc45381bfde997b6305c4e1600f1bf Ruby/Net::SSH_5.0.2 x86_64-linux (Metasploit 익스플로잇 모듈에서 사용) b5752e36ba6c5979a575e43178908adf Python Paramiko_2.4.1 (Metasploit 익스플로잇 모듈에서 사용) 16f898dd8ed8279e1055350b4e20666c Dropbear_2012.55 (IOT 임베디드 시스템에서 사용)
8a8ae540028bf433cd68356c1b9e8d5b CyberDuck Version 6.7.1 (28683)
06046964c022c6407d15a27b12a6a4fb OpenSSH_7.7p1 Ubuntu-4

예제 2: 서버 지문 - "hasshServer"

표준 SSH-2.0-OpenSSH_5.3 SSH 서버의 경우 지원되는 알고리즘 세트는 다음과 같습니다.

이러한 알고리즘을 구분자 ";"로 연결하면 hasshServerAlgorithms가 생성되며, 이는 상세 분석에 유용합니다.
diffie-hellman-group-exchange-sha256,diffie-hellman-group-exchange-sha1,diffie-hellman-group14-sha1,diffie-hellman-group1-sha1;aes128-ctr,aes192-ctr,aes256-ctr,arcfour256,arcfour128,aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,aes192-cbc,aes256-cbc,arcfour,[email protected];hmac-md5,hmac-sha1,[email protected],hmac-ripemd160,[email protected],hmac-sha1-96,hmac-md5-96;none,[email protected]

마지막으로 hasshServer는 hasshServerAlgorithms의 MD5이며, 몇 가지 예는 다음과 같습니다. c1c596caaeb93c566b8ecf3cae9b5a9e SSH-2.0-dropbear_2016.74 d93f46d063c4382b6232a4d77db532b2 SSH-2.0-dropbear_2016.72 2dd9a9b3dbebfaeec8b8aabd689e75d2 SSH-2.0-AWSCodeCommit
696e7f84ac571fdf8fa5073e64ee2dc8 SSH-2.0-FTP

참고 자료:

• RFC4253 Secure Shell (SSH) 전송 계층 프로토콜
• Salesforce Engineering 블로그

크레딧:

hassh와 hasshServer는 Salesforce의 Detection Cloud Team에서 Ben Reardon (@benreardon)이 구상하고 개발했으며, Adel Karimi (@0x4d31) 및 JA3 crew의 영감과 기여를 받았습니다: John B. Althouse, Jeff Atkinson, Josh Atkins