Risco das sessões SSH
Como o InfraFence dá a cada sessão SSH uma pontuação de 0 a 100 (método de autenticação, hora do login, comandos privilegiados) e a aumenta quando outros detectores disparam durante a sessão.
Última atualização:
Um login bem-sucedido não prova que o usuário é legítimo. O agente acompanha cada sessão SSH do login ao logout e, quando ela termina, dá a ela uma pontuação de risco de 0 a 100.
Vem ativado por padrão (Rastreamento de sessões SSH ativado em Configurações › Agente), lê o mesmo log de autenticação da detecção de força bruta no SSH e só observa: nunca encerra uma sessão.
O que aumenta a pontuação
| Fator | Pontos |
|---|---|
| Login com senha em vez de chave | 15 |
| Login entre 22:00 e 05:59 | 10 |
sudo usado para ler /etc/shadow ou /etc/passwd |
30 |
sudo executando um script baixado (curl ou wget com pipe para um shell) |
30 |
| Um usuário criado com UID 0 | 25 |
Um usuário excluído (userdel) |
15 |
Uma senha alterada (passwd) |
10 |
| Uma crontab alterada | 10 |
| Cada alerta de outro detector enquanto a sessão está aberta | 40 |
Cada fator de comando conta uma vez por sessão; o total para em 100. O agente registra sudo, useradd, userdel, passwd, crontab e su a partir do log de autenticação.
Correlação com os outros detectores
Com Detecção Sigma ativada (ligada por padrão), cada evento de segurança que o agente reporta enquanto uma sessão está aberta (firewall web, integridade de arquivos, malware, varredura de portas, saída ou DNS) com nível igual ou superior ao Nível mínimo do Sigma (aviso, por padrão) soma 40 pontos àquela sessão. Um login seguido de uma nova chave SSH e de uma reverse shell não passa despercebido.
Automação recorrente
Um painel de deploy como o Coolify, ou uma rotina de backup, faz login como root com a mesma chave a partir do mesmo endereço a cada poucos minutos. Pontuada como uma pessoa, cada uma dessas sessões seria crítica. O agente (1.0.35 ou mais recente) guarda por uma semana os horários de login de cada usuário, endereço e fingerprint de chave, e reconhece uma automação recorrente quando:
- a série começou há pelo menos 6 horas;
- tem pelo menos 6 logins de um endereço privado, ou 12 de um público (logins com menos de 30 segundos de diferença contam como um);
- os intervalos são regulares: a maioria dentro de 10%, ou de um minuto, do intervalo habitual, que fica entre 1 minuto e 1 dia.
As suas sessões continuam sendo registradas, com o fator Automação recorrente. Os fatores de contexto (um primeiro login a partir do endereço, a noite, alertas de outros detectores) ficam de fora, mas os seus comandos continuam contando: uma sessão que faz algo arriscado continua pontuando. Uma chave nova, um endereço novo ou um login com senha são pontuados normalmente.
O que você vê
O evento ssh_session é reportado no logout: crítico a partir de 50 pontos, aviso a partir de 25, info abaixo disso. Na aba Rede do servidor, as sessões mostram a pontuação como risco baixo (0 a 39), médio (40 a 69) ou alto (70 a 100), os seus fatores, e o início e o fim do fingerprint da chave do login.
Sessões com menos de 5 segundos e sem comandos não são reportadas, nem as contas das ferramentas de monitoramento comuns (Nagios, Zabbix, Prometheus, Icinga, Checkmk e similares).