Aker SSH шлюз

Что такое Aker?

Aker — это инструмент безопасности, который помогает настроить собственный SSH jump/бастион-хост на Linux. Названный в честь египетского божества, охранявшего границы, Aker действует как контрольная точка, через которую все ваши сисадмины и персонал поддержки получают доступ к production-серверам Linux. Aker SSH шлюз включает множество функций безопасности, которые помогут легко управлять и администрировать тысячи серверов Linux. Для подробного ознакомления посетите наш Wiki.

Мотивация

Я не смог найти инструмент с открытым исходным кодом, аналогичный CryptoAuditor и fudo; такие инструменты полезны, если вы стремитесь к соответствию PCI-DSS или HIPAA, например. Независимо от соответствия стандартам безопасности, доступ к серверам должен контролироваться и быть организован удобным образом как для традиционных, так и для облачных нагрузок.

Текущие возможности

• Поддерживает FreeIPA 4.2, 4.3 и 4.4 (опционально)
• Расширяемый, напишите свой собственный модуль
• Воспроизведение сессий
• Извлечение команд сессии
• Журналы сессий в формате JSON, готовые для SIEM
• Интеграция с Elasticsearch

План развития

• Фаза 0

  • Интеграция с провайдером учётных записей (FreeIPA)
  • Расширяемая модульная структура, возможность подключения собственного модуля
  • Интеграция с инструментами управления конфигурацией
  • Парсируемые журналы аудита (JSON, отправка в Elasticsearch)
  • Отказоустойчивая конфигурация
  • Воспроизведение сессий

• Фаза 1

  • Веб-интерфейс для администрирования
  • Мониторинг активных сессий
  • Поддержка облачных сред (AWS, OpenStack и т.д.) или локальных развертываний
  • Фильтрация команд (предотвращение деструктивных команд, таких как rm -rf)
  • Шифрование журналов сессий, хранящихся на диске.

• Фаза 2

  • Поддержка мониторинга графических протоколов (RDP, VNC, X11)
  • Панель продуктивности пользователя

Посмотреть в действии

Требования

Программное обеспечение:

• Linux (протестировано на CentOS, Fedora и Ubuntu)
• Python (протестировано на версии 2.7)
• (Опционально) FreeIPA, протестировано на FreeIPA 4.2 и 4.3
• redis

Модули Python:

• configparser
• urwid
• paramiko
• wcwidth
• pyte
• redis

Установка

• Автоматизированная:

  • Используйте эту плейбуку Ansible

• Вручную:

• Aker может быть установлен на клиенте FreeIPA или независимо с помощью файла конфигурации JSON.

  • Общие шаги (FreeIPA или JSON):

    • Клонируйте репозиторий
    root@kitploit:~

    git clone https://github.com/aker-gateway/Aker.git /usr/bin/aker/
    

    • Установите зависимости (адаптируйте для Ubuntu)

      root@kitploit:~

      yum -y install epel-release 
      yum -y install python2-paramiko python-configparser python-redis python-urwid python2-wcwidth redis
      

    • Установите права на выполнение файлов

      root@kitploit:~

      chmod 755 /usr/bin/aker/aker.py
      chmod 755 /usr/bin/aker/akerctl.py
      

    • Настройте каталог журналов и права

      root@kitploit:~

      mkdir /var/log/aker
      chmod 777 /var/log/aker
      touch /var/log/aker/aker.log
      chmod 777 /var/log/aker/aker.log
      

    • Примените aker для всех пользователей, кроме root, отредактируйте sshd_config

      root@kitploit:~

      Match Group *,!root
      ForceCommand /usr/bin/aker/aker.py
      

    • Перезапустите ssh

    • Перезапустите redis

  • Выбор FreeIPA:

    • Предположения:

      • Сервер Aker уже включён в домен FreeIPA

    • Создайте /etc/aker, скопируйте в него /usr/bin/aker/aker.ini и отредактируйте, как показано ниже:

      root@kitploit:~

      ```
      [General]
      log_level = INFO
      ssh_port = 22
      
      # Identity Provider to determine the list of available hosts
      # options shipped are IPA, Json. Default is IPA
      idp = IPA
      hosts_file = /etc/aker/hosts.json
      
      # FreeIPA hostgroup name contatining Aker gateways
      # to be excluded from hosts presented to user
      gateway_group = gateways
      ```
      

Содействие

В настоящее время я работаю над кодом в свободное время, любая помощь очень ценится. Пожалуйста, прочитайте CONTRIBUTING.md для подробностей о нашем кодексе поведения и процессе отправки pull request'ов.