Riesgo de las sesiones SSH
Cómo puntúa InfraFence cada sesión SSH de 0 a 100 - método de autenticación, hora del acceso, comandos privilegiados - y sube la puntuación cuando otros detectores saltan durante la sesión.
Última actualización:
Un inicio de sesión correcto no demuestra que el usuario sea legítimo. El agente sigue cada sesión SSH desde el inicio hasta el cierre y le asigna una puntuación de riesgo de 0 a 100 cuando termina.
Está activado por defecto (Seguimiento de sesiones SSH activado en Ajustes › Agente), lee el mismo registro de autenticación que la detección de fuerza bruta SSH y solo observa: nunca cierra una sesión.
Qué sube la puntuación
| Factor | Puntos |
|---|---|
| Acceso con contraseña en lugar de una clave | 15 |
| Acceso entre las 22:00 y las 05:59 | 10 |
sudo usado para leer /etc/shadow o /etc/passwd |
30 |
sudo ejecutando un script descargado (curl o wget redirigido a una shell) |
30 |
| Un usuario creado con UID 0 | 25 |
Un usuario eliminado (userdel) |
15 |
Una contraseña cambiada (passwd) |
10 |
| Un crontab modificado | 10 |
| Cada alerta de otro detector mientras la sesión está abierta | 40 |
Cada factor de comando cuenta una vez por sesión; el total se detiene en 100. El agente registra sudo, useradd, userdel, passwd, crontab y su a partir del registro de autenticación.
Correlación con los demás detectores
Con Detección Sigma activada (por defecto), cada evento de seguridad que el agente notifica mientras una sesión está abierta (firewall web, integridad de archivos, malware, escaneo de puertos, tráfico saliente o DNS) con un nivel igual o superior al Nivel mínimo de Sigma (aviso por defecto) suma 40 puntos a esa sesión. Un acceso seguido de una nueva clave SSH y una reverse shell no pasa desapercibido.
Automatización recurrente
Un panel de despliegue como Coolify, o una tarea de copia de seguridad, inicia sesión como root con la misma clave desde la misma dirección cada pocos minutos. Puntuada como una persona, cada una de esas sesiones sería crítica. El agente (1.0.35 o posterior) guarda durante una semana las horas de acceso de cada usuario, dirección y huella de clave, y reconoce una automatización recurrente cuando:
- la serie empezó hace al menos 6 horas;
- tiene al menos 6 accesos desde una dirección privada, o 12 desde una pública (los accesos con menos de 30 segundos de diferencia cuentan como uno);
- los intervalos son regulares: la mayoría dentro del 10%, o de un minuto, del intervalo habitual, que está entre 1 minuto y 1 día.
Sus sesiones se siguen registrando, con el factor Automatización recurrente. Los factores de contexto (un primer acceso desde la dirección, la noche, las alertas de otros detectores) no se cuentan, pero sus comandos sí: una sesión que hace algo arriesgado sigue sumando puntos. Una clave nueva, una dirección nueva o un acceso con contraseña se puntúan como siempre.
Qué ves
El evento ssh_session se notifica al cerrar la sesión: crítico desde 50 puntos, aviso desde 25, info por debajo. En la pestaña Red del servidor, las sesiones muestran su puntuación como Riesgo bajo (0 a 39), Riesgo medio (40 a 69) o Riesgo alto (70 a 100), sus factores, y el principio y el final de la huella de la clave del acceso.
No se notifican las sesiones de menos de 5 segundos sin comandos, ni las cuentas de las herramientas de monitorización habituales (Nagios, Zabbix, Prometheus, Icinga, Checkmk y similares).