Aker SSH 网关

什么是 Aker？

Aker 是一款安全工具，可帮助您配置自己的 Linux SSH 跳板/堡垒主机。Aker 以埃及神话中守卫边境的神祇命名，将作为所有系统管理员和支持人员访问 Linux 生产服务器的唯一瓶颈。Aker SSH 网关包含众多安全功能，可帮助您轻松管理和运维数千台 Linux 服务器。详细说明请查阅我们的 Wiki

动机

我找不到类似 CryptoAuditor 和 fudo 的开源工具。这类工具对于需要满足 PCI-DSS 或 HIPAA 合规性要求（例如）的场景非常有用。无论安全标准合规性如何，服务器访问都应得到控制并以适合传统和云工作负载的方式进行组织。

当前功能

• 支持 FreeIPA 4.2、4.3 和 4.4（可选）
• 可扩展，编写您自己的模块
• 会话回放
• 提取会话命令
• SIEM 就绪的 JSON 会话日志
• Elasticsearch 集成

路线图

• 阶段 0

  • 与身份提供者（FreeIPA）集成
  • 可扩展的模块化结构，插件化您自己的模块
  • 与配置管理工具集成
  • 可解析的审计日志（JSON，传输至 Elasticsearch）
  • 高可用性设置
  • 会话回放

• 阶段 1

  • 管理 WebUI
  • 实时会话监控
  • 支持云（AWS、OpenStack 等）或本地部署
  • 命令过滤（禁止破坏性命令，如 rm -rf）
  • 加密存储在磁盘上的会话日志

• 阶段 2

  • 支持图形协议（RDP、VNC、X11）监控
  • 用户生产力仪表板

实际演示

要求

软件：

• Linux（已在 CentOS、Fedora 和 Ubuntu 上测试）
• Python（已在 2.7 上测试）
• （可选）FreeIPA，已在 FreeIPA 4.2 和 4.3 上测试
• redis

Python 模块：

• configparser
• urwid
• paramiko
• wcwidth
• pyte
• redis

安装

• 自动安装：

  • 使用 这个 Ansible playbook

• 手动安装：

• Aker 可以设置在 FreeIPA 客户端上，也可以使用 JSON 配置文件独立运行。

  • 通用步骤（FreeIPA 或 JSON）：

    • 克隆仓库

      root@kitploit:~

      git clone https://github.com/aker-gateway/Aker.git /usr/bin/aker/
      

    • 安装依赖（适配 Ubuntu）

      root@kitploit:~

      yum -y install epel-release 
      yum -y install python2-paramiko python-configparser python-redis python-urwid python2-wcwidth redis
      

    • 设置文件可执行权限

      root@kitploit:~

      chmod 755 /usr/bin/aker/aker.py
      chmod 755 /usr/bin/aker/akerctl.py
      

    • 设置日志目录及权限

      root@kitploit:~

      mkdir /var/log/aker
      chmod 777 /var/log/aker
      touch /var/log/aker/aker.log
      chmod 777 /var/log/aker/aker.log
      

    • 对所有用户（root 除外）强制执行 aker，编辑 sshd_config

      root@kitploit:~

      Match Group *,!root
      ForceCommand /usr/bin/aker/aker.py
      

    • 重启 ssh

    • 重启 redis

  • 选择 FreeIPA：

    • 假设：

      • Aker 服务器已注册到 FreeIPA 域

    • 创建 /etc/aker，将 /usr/bin/aker/aker.ini 复制到其中并编辑如下：

      root@kitploit:~

      ```
      [General]
      log_level = INFO
      ssh_port = 22
      
      # 用于确定可用主机列表的身份提供者
      # 可选方案包括 IPA、Json。默认为 IPA
      idp = IPA
      hosts_file = /etc/aker/hosts.json
      
      # 包含 Aker 网关的 FreeIPA 主机组名称
      # 以便从呈现给用户的主机中排除
      gateway_group = gateways
      ```
      

贡献

目前我在业余时间开发代码，非常欢迎任何帮助。请阅读 CONTRIBUTING.md 了解我们的行为准则以及提交拉取请求的流程。