Auditor SSH

Funcionalidades

ssh-auditor automaticamente irá:

• Verificar novamente todos os hosts conhecidos conforme novas credenciais são adicionadas. Só verificará as novas credenciais.
• Enfileirar uma verificação completa de credenciais em qualquer novo host descoberto.
• Enfileirar uma verificação completa de credenciais em qualquer host conhecido cuja versão SSH ou impressão digital da chave mude.
• Tentar execução de comandos, bem como tentar tunelar uma conexão TCP.
• Verificar novamente cada credencial usando um scan_interval por credencial - padrão 14 dias.

Foi projetado para que você possa executar ssh-auditor discover + ssh-auditor scan a partir do cron a cada hora para realizar uma auditoria constante.

Demonstrações

Demonstração anterior mostrando todas as funcionalidades

Demonstração mostrando saída de log aprimorada

Uso

Instalação

$ brew install go # ou como você quiser instalar o compilador Go
$ go get github.com/ncsa/ssh-auditor

ou Compilar a partir de um clone git

$ go build

Compilar um binário estático incluindo sqlite

$ make static

Certifique-se de que pode usar file descriptors suficientes

$ ulimit -n 4096

Criar banco de dados inicial e descobrir servidores ssh

$ ./ssh-auditor discover -p 22 -p 2222 192.168.1.0/24 10.0.0.1/24

Adicionar pares de credenciais para verificar

$ ./ssh-auditor addcredential root root
$ ./ssh-auditor addcredential admin admin
$ ./ssh-auditor addcredential guest guest --scan-interval 1 #verificar uma vez por dia

Testar credenciais contra hosts descobertos

$ ./ssh-auditor scan

Gerar um relatório sobre quais credenciais funcionaram

$ ./ssh-auditor vuln

Re-verificar credenciais que funcionaram

$ ./ssh-auditor rescan

Gerar um relatório sobre uso de chaves duplicadas

$ ./ssh-auditor dupes

TODO

• atualizar a tabela 'host changes'
• lidar com falsos positivos de dispositivos que não usam autenticação por senha SSH, mas usam o shell para isso.
• tempos de re-verificação variáveis - cada credencial tem um scan_interval em dias
• melhor suporte a portas não padrão - apenas o discover precisa ser atualizado, o resto não se importa.
• possivelmente transformar em daemon e adicionar uma API que o Bro possa usar para iniciar um discover assim que um novo servidor SSH for detectado.
• tornar o armazenamento plugável (mysql, postgresql).
• diferenciar entre uma tentativa de senha falha e uma conexão falha ou timeout. Quase concluído. Coisas como fail2ban complicam isso.
• adicionar implementações Go para o comando de relatório sqlite3.

Consulta do relatório.

Essa consulta que ssh-auditor vuln executa é

select
        hc.hostport, hc.user, hc.password, hc.result, hc.last_tested, h.version
 from
        host_creds hc, hosts h
 where
        h.hostport = hc.hostport
 and    result!='' order by last_tested asc