Rischio delle sessioni SSH
Come InfraFence assegna a ogni sessione SSH un punteggio da 0 a 100 (metodo di accesso, ora del login, comandi privilegiati) e lo alza quando altri rilevatori scattano.
Ultimo aggiornamento:
Un login riuscito non prova che l'utente sia legittimo. L'agente segue ogni sessione SSH dal login al logout e, quando termina, le assegna un punteggio di rischio da 0 a 100.
È attivo per impostazione predefinita (Tracciamento sessioni SSH attivo in Impostazioni › Agente), legge lo stesso log di autenticazione del rilevamento brute force SSH e si limita a osservare: non chiude mai una sessione.
Cosa alza il punteggio
| Fattore | Punti |
|---|---|
| Login con password invece che con chiave | 15 |
| Login tra le 22:00 e le 05:59 | 10 |
sudo usato per leggere /etc/shadow o /etc/passwd |
30 |
sudo che esegue uno script scaricato (curl o wget in pipe verso una shell) |
30 |
| Un utente creato con UID 0 | 25 |
Un utente eliminato (userdel) |
15 |
Una password cambiata (passwd) |
10 |
| Una crontab modificata | 10 |
| Ogni allarme di un altro rilevatore mentre la sessione è aperta | 40 |
Ogni fattore legato ai comandi conta una volta per sessione; il totale si ferma a 100. L'agente registra sudo, useradd, userdel, passwd, crontab e su dal log di autenticazione.
Correlazione con gli altri rilevatori
Con Rilevamento Sigma attivo (attivo per impostazione predefinita), ogni evento di sicurezza che l'agente segnala mentre una sessione è aperta (web firewall, integrità dei file, malware, scansione di porte, in uscita o DNS) pari o superiore al Livello minimo Sigma (warning per impostazione predefinita) aggiunge 40 punti a quella sessione. Un login seguito da una nuova chiave SSH e da una reverse shell non passa inosservato.
Automazione ricorrente
Un pannello di deploy come Coolify, o un job di backup, entra come root con la stessa chiave dallo stesso indirizzo ogni pochi minuti. Valutata come una persona, ognuna di queste sessioni sarebbe critica. L'agente (1.0.35 o successivo) conserva per una settimana gli orari di login di ogni utente, indirizzo e impronta della chiave, e riconosce un'automazione ricorrente quando:
- la serie è iniziata almeno 6 ore fa;
- ha almeno 6 login da un indirizzo privato, o 12 da uno pubblico (i login a meno di 30 secondi l'uno dall'altro contano come uno);
- gli intervalli sono regolari: la maggior parte entro il 10%, o un minuto, dell'intervallo abituale, che è compreso tra 1 minuto e 1 giorno.
Le sue sessioni vengono comunque registrate, con il fattore Automazione ricorrente. I fattori di contesto (un primo login dall'indirizzo, la notte, gli allarmi di altri rilevatori) non vengono contati, ma i suoi comandi contano ancora: una sessione che fa qualcosa di rischioso riceve comunque un punteggio. Una nuova chiave, un nuovo indirizzo o un login con password vengono valutati come sempre.
Cosa vedi
L'evento ssh_session viene segnalato al logout: critical da 50 punti, warning da 25, info sotto. Nella scheda Rete del server, le sessioni mostrano il loro punteggio come Basso (da 0 a 39), Medio (da 40 a 69) o Alto (da 70 a 100), i loro fattori, e l'inizio e la fine dell'impronta della chiave usata per il login.
Le sessioni più brevi di 5 secondi senza comandi non vengono segnalate, e nemmeno gli account dei comuni strumenti di monitoraggio (Nagios, Zabbix, Prometheus, Icinga, Checkmk e simili).