Risque des sessions SSH
Comment InfraFence note chaque session SSH de 0 à 100 - méthode d'authentification, heure de connexion, commandes privilégiées - et relève le score quand d'autres détecteurs se déclenchent pendant la session.
Dernière mise à jour:
Une connexion réussie ne prouve pas que l'utilisateur est légitime. L'agent suit chaque session SSH de la connexion à la déconnexion et lui attribue, à sa fin, un score de risque de 0 à 100.
Le suivi est activé par défaut (Suivi des sessions SSH activé dans Paramètres › Agent), lit le même journal d'authentification que la détection de force brute SSH et se contente d'observer : il ne met jamais fin à une session.
Ce qui fait monter le score
| Facteur | Points |
|---|---|
| Connexion par mot de passe plutôt que par clé | 15 |
| Connexion entre 22:00 et 05:59 | 10 |
sudo utilisé pour lire /etc/shadow ou /etc/passwd |
30 |
sudo qui exécute un script téléchargé (curl ou wget redirigé vers un shell) |
30 |
| Un utilisateur créé avec l'UID 0 | 25 |
Un utilisateur supprimé (userdel) |
15 |
Un mot de passe modifié (passwd) |
10 |
| Une crontab modifiée | 10 |
| Chaque alerte d'un autre détecteur pendant que la session est ouverte | 40 |
Chaque facteur lié à une commande compte une fois par session ; le total plafonne à 100. L'agent enregistre sudo, useradd, userdel, passwd, crontab et su depuis le journal d'authentification.
Corrélation avec les autres détecteurs
Avec Détection Sigma activée (activé par défaut), chaque événement de sécurité que l'agent signale pendant qu'une session est ouverte (pare-feu web, intégrité des fichiers, malware, scan de ports, sortant ou DNS), au niveau fixé par Niveau minimal Sigma ou au-dessus (avertissement par défaut), ajoute 40 points à cette session. Une connexion suivie d'une nouvelle clé SSH et d'un reverse shell ne passe pas inaperçue.
Automatisation récurrente
Un panneau de déploiement comme Coolify, ou une tâche de sauvegarde, se connecte en root avec la même clé depuis la même adresse toutes les quelques minutes. Notée comme une personne, chacune de ces sessions serait critique. L'agent (1.0.35 ou plus récent) conserve pendant une semaine les heures de connexion de chaque utilisateur, adresse et empreinte de clé, et reconnaît une automatisation récurrente quand :
- la série a commencé il y a au moins 6 heures ;
- elle compte au moins 6 connexions depuis une adresse privée, ou 12 depuis une adresse publique (des connexions à moins de 30 secondes d'intervalle comptent pour une) ;
- les intervalles sont réguliers : la plupart à 10 % près, ou à une minute près, de l'intervalle habituel, qui est compris entre 1 minute et 1 jour.
Ses sessions sont toujours enregistrées, avec le facteur Automatisation récurrente. Les facteurs de contexte (une première connexion depuis l'adresse, la nuit, les alertes des autres détecteurs) ne sont pas comptés, mais ses commandes comptent toujours : une session qui fait quelque chose de risqué reçoit toujours un score. Une nouvelle clé, une nouvelle adresse ou une connexion par mot de passe sont notées comme d'habitude.
Ce que vous voyez
L'événement ssh_session est signalé à la déconnexion : critique à partir de 50 points, avertissement à partir de 25, info en dessous. Dans l'onglet Réseau du serveur, les sessions affichent leur score comme Faible (0 à 39), Moyen (40 à 69) ou Élevé (70 à 100), leurs facteurs, ainsi que le début et la fin de l'empreinte de la clé de connexion.
Les sessions de moins de 5 secondes sans aucune commande ne sont pas signalées, pas plus que les comptes des outils de supervision courants (Nagios, Zabbix, Prometheus, Icinga, Checkmk et similaires).