SSH Аудитор

Возможности

ssh-auditor будет автоматически:

• Повторно проверять все известные хосты по мере добавления новых учетных данных. Будут проверяться только новые учетные данные.
• Ставить в очередь полное сканирование учетных данных для любого нового обнаруженного хоста.
• Ставить в очередь полное сканирование учетных данных для любого известного хоста, чья версия SSH или отпечаток ключа изменились.
• Пытаться выполнить команды, а также попытаться создать туннель TCP-соединения.
• Повторно проверять каждую учетную запись с помощью scan_interval для каждой учетной записи — по умолчанию 14 дней.

Он спроектирован так, что вы можете запускать ssh-auditor discover + ssh-auditor scan из cron каждый час для проведения постоянного аудита.

Демонстрации

Ранняя демонстрация, показывающая все возможности

Демонстрация улучшенного вывода логов

Использование

Установка

$ brew install go # or however you want to install the go compiler
$ go get github.com/ncsa/ssh-auditor

или Сборка из git-клона

$ go build

Сборка статического бинарного файла с включением sqlite

$ make static

Убедитесь, что у вас достаточно файловых дескрипторов

$ ulimit -n 4096

Создание начальной базы данных и обнаружение SSH-серверов

$ ./ssh-auditor discover -p 22 -p 2222 192.168.1.0/24 10.0.0.1/24

Добавление пар учетных данных для проверки

$ ./ssh-auditor addcredential root root
$ ./ssh-auditor addcredential admin admin
$ ./ssh-auditor addcredential guest guest --scan-interval 1 #check this once per day

Попытка использования учетных данных на обнаруженных хостах

$ ./ssh-auditor scan

Вывод отчета о том, какие учетные данные сработали

$ ./ssh-auditor vuln

Повторная проверка сработавших учетных данных

$ ./ssh-auditor rescan

Вывод отчета об использовании дублирующихся ключей

$ ./ssh-auditor dupes

TODO

• обновить таблицу 'host changes'
• обрабатывать ложные срабатывания от устройств, которые не используют аутентификацию по SSH-паролю, а используют для этого оболочку.
• переменные интервалы повторной проверки — каждая учетная запись имеет scan_interval в днях
• улучшенная поддержка нестандартных портов — обновление требуется только для discover, остальные не учитывают порты.
• возможно, демонизировать и добавить API, с которым Bro мог бы взаимодействовать для запуска discover при обнаружении нового SSH-сервера.
• сделать хранилище сменяемым (mysql, postgresql).
• различать неудачную попытку входа по паролю и неудачное соединение или тайм-аут. В основном сделано. Такие вещи, как fail2ban, усложняют задачу.
• добавить реализации на Go для команды отчета sqlite3.

Запрос отчета.

Это запрос, который выполняется ssh-auditor vuln:

select
        hc.hostport, hc.user, hc.password, hc.result, hc.last_tested, h.version
 from
        host_creds hc, hosts h
 where
        h.hostport = hc.hostport
 and    result!='' order by last_tested asc