Aker SSH Gateway

O que é o Aker?

O Aker é uma ferramenta de segurança que ajuda você a configurar seu próprio host de salto/bastião SSH Linux. Batizado em homenagem a uma divindade da mitologia egípcia que guardava as fronteiras, o Aker atua como um ponto de estrangulamento por meio do qual todos os seus administradores de sistema e pessoal de suporte acessam servidores de produção Linux. O gateway SSH Aker inclui muitos recursos de segurança que ajudam você a gerenciar e administrar milhares de servidores Linux com facilidade. Para uma análise detalhada, consulte nossa Wiki

Motivação

Não consegui encontrar uma ferramenta de código aberto semelhante ao CryptoAuditor e fudo. Essas ferramentas são benéficas se você estiver buscando se tornar compatível com PCI-DSS ou HIPAA, por exemplo. Independentemente da conformidade com padrões de segurança, o acesso ao servidor deve ser controlado e organizado de uma forma conveniente tanto para cargas de trabalho tradicionais quanto em nuvem.

Recursos Atuais

• Suporte ao FreeIPA 4.2, 4.3 e 4.4 (Opcional)
• Extensível, Escreva Seu Próprio Módulo
• Reprodução de Sessão
• Extrair Comandos da Sessão
• Logs de Sessão em JSON Prontos para SIEM
• Integração com Elasticsearch

Roteiro

• Fase 0

  • Integração com um provedor de identidade (FreeIPA)
  • Estrutura modular extensível, plugue seu próprio módulo
  • Integração com ferramentas de gerenciamento de configuração
  • Logs de auditoria analisáveis (json, enviados para Elasticsearch)
  • Configuração de alta disponibilidade
  • Reprodução de sessão

• Fase 1

  • WebUI de Administração
  • Monitoramento de sessão ao vivo
  • Suporte a nuvem (AWS, OpenStack etc.) ou implantações on-premises
  • Filtragem de comandos (Prevenir comandos destrutivos como rm -rf)
  • Criptografar logs de sessão armazenados em disco.

• Fase 2

  • Suporte para monitoramento de protocolos gráficos (RDP, VNC, X11)
  • Painel de produtividade do usuário

Veja em ação

Requisitos

Software:

• Linux (Testado no CentOS, Fedora e Ubuntu)
• Python (Testado na versão 2.7)
• (Opcional) FreeIPA, Testado no FreeIPA 4.2 e 4.3
• redis

Módulos Python:

• configparser
• urwid
• paramiko
• wcwidth
• pyte
• redis

Instalação

• Automatizada :

  • Use este playbook do Ansible

• Manualmente:

• O Aker pode ser configurado em um cliente FreeIPA ou de forma independente usando um arquivo de configuração json.

  • Passos Comuns (FreeIPA ou Json):

    • Clone o repositório
    root@kitploit:~

    git clone https://github.com/aker-gateway/Aker.git /usr/bin/aker/
    

    • Instale as dependências (adapte para Ubuntu)

      root@kitploit:~

      yum -y install epel-release 
      yum -y install python2-paramiko python-configparser python-redis python-urwid python2-wcwidth redis
      

    • Defina permissões executáveis para os arquivos

      root@kitploit:~

      chmod 755 /usr/bin/aker/aker.py
      chmod 755 /usr/bin/aker/akerctl.py
      

    • Configure o diretório de logs e permissões

      root@kitploit:~

      mkdir /var/log/aker
      chmod 777 /var/log/aker
      touch /var/log/aker/aker.log
      chmod 777 /var/log/aker/aker.log
      

    • Force o aker em todos os usuários, exceto root, edite sshd_config

      root@kitploit:~

      Match Group *,!root
      ForceCommand /usr/bin/aker/aker.py
      

    • Reinicie o ssh

    • Reinicie o redis

  • Escolhendo FreeIPA:

    • Pressupostos:

      • O servidor Aker já está inscrito no domínio FreeIPA

    • Crie /etc/aker e copie /usr/bin/aker/aker.ini para lá e edite-o conforme abaixo :

      root@kitploit:~

      ```
      [General]
      log_level = INFO
      ssh_port = 22
      
      # Identity Provider to determine the list of available hosts
      # options shipped are IPA, Json. Default is IPA
      idp = IPA
      hosts_file = /etc/aker/hosts.json
      
      # FreeIPA hostgroup name contatining Aker gateways
      # to be excluded from hosts presented to user
      gateway_group = gateways
      ```
      

Contribuindo

Atualmente trabalho no código no meu tempo livre; qualquer ajuda é muito apreciada. Por favor, leia CONTRIBUTING.md para detalhes sobre nosso código de conduta e o processo para envio de pull requests.