Risiko von SSH-Sitzungen
Wie InfraFence jede SSH-Sitzung von 0 bis 100 bewertet (Anmeldemethode, Uhrzeit, privilegierte Befehle) und den Wert erhöht, wenn andere Detektoren während der Sitzung anschlagen.
Zuletzt aktualisiert:
Ein erfolgreicher Login beweist noch keinen legitimen Benutzer. Der Agent verfolgt jede SSH-Sitzung vom Login bis zum Logout und gibt ihr am Ende einen Risikowert von 0 bis 100.
Das ist standardmäßig aktiv (Verfolgung von SSH-Sitzungen aktiv unter Einstellungen › Agent), liest dasselbe Authentifizierungslog wie die SSH-Brute-Force-Erkennung und beobachtet nur: Es beendet nie eine Sitzung.
Was den Wert erhöht
| Faktor | Punkte |
|---|---|
| Anmeldung mit Passwort statt mit Schlüssel | 15 |
| Anmeldung zwischen 22:00 und 05:59 Uhr | 10 |
sudo zum Lesen von /etc/shadow oder /etc/passwd |
30 |
sudo führt ein heruntergeladenes Skript aus (curl oder wget per Pipe an eine Shell) |
30 |
| Ein Benutzer mit UID 0 angelegt | 25 |
Ein Benutzer gelöscht (userdel) |
15 |
Ein Passwort geändert (passwd) |
10 |
| Eine Crontab geändert | 10 |
| Jeder Alarm eines anderen Detektors, während die Sitzung offen ist | 40 |
Jeder Befehlsfaktor zählt einmal pro Sitzung; die Summe endet bei 100. Der Agent erfasst sudo, useradd, userdel, passwd, crontab und su aus dem Authentifizierungslog.
Korrelation mit den anderen Detektoren
Mit Sigma-Erkennung aktiv (standardmäßig an) fügt jedes Sicherheitsereignis, das der Agent während einer offenen Sitzung meldet (Web-Firewall, Dateiintegrität, Malware, Portscan, ausgehend oder DNS), ab der Sigma-Mindeststufe (standardmäßig Warnung) dieser Sitzung 40 Punkte hinzu. Ein Login, gefolgt von einem neuen SSH-Schlüssel und einer Reverse Shell, bleibt nicht unbemerkt.
Wiederkehrende Automatisierung
Ein Deployment-Panel wie Coolify oder ein Backup-Job meldet sich alle paar Minuten als root mit demselben Schlüssel von derselben Adresse an. Wie ein Mensch bewertet, wäre jede dieser Sitzungen kritisch. Der Agent (1.0.35 oder neuer) speichert eine Woche lang die Login-Zeiten jedes Benutzers, jeder Adresse und jedes Schlüssel-Fingerprints und erkennt eine wiederkehrende Automatisierung, wenn:
- die Serie vor mindestens 6 Stunden begonnen hat;
- sie mindestens 6 Logins von einer privaten Adresse hat, oder 12 von einer öffentlichen (Logins, die weniger als 30 Sekunden auseinanderliegen, zählen als einer);
- die Abstände regelmäßig sind: die meisten innerhalb von 10 % oder einer Minute des üblichen Abstands, der zwischen 1 Minute und 1 Tag liegt.
Ihre Sitzungen werden weiterhin erfasst, mit dem Faktor Wiederkehrende Automatisierung. Die Kontextfaktoren (ein erster Login von der Adresse, die Nacht, Alarme anderer Detektoren) fallen weg, aber ihre Befehle zählen weiter: Eine Sitzung, die etwas Riskantes tut, bekommt trotzdem Punkte. Ein neuer Schlüssel, eine neue Adresse oder ein Passwort-Login wird wie gewohnt bewertet.
Was du siehst
Das Ereignis ssh_session wird beim Logout gemeldet: kritisch ab 50 Punkten, Warnung ab 25, darunter Info. Im Tab Netzwerk des Servers zeigen Sitzungen ihren Wert als Niedrig (0 bis 39), Mittel (40 bis 69) oder Hoch (70 bis 100), ihre Faktoren sowie Anfang und Ende des Fingerprints des Login-Schlüssels.
Sitzungen unter 5 Sekunden ohne Befehle werden nicht gemeldet, ebenso wenig die Konten gängiger Monitoring-Tools (Nagios, Zabbix, Prometheus, Icinga, Checkmk und ähnliche).