SSH को सुदृढ़ करना और ऑडिट की सर्वोत्तम प्रथाएँ

SSH सुरक्षा-सुदृढ़ीकरण का सबसे प्रभावी कदम /etc/ssh/sshd_config में PasswordAuthentication no सेट करना है। इससे सभी उपयोगकर्ताओं को सार्वजनिक कुंजियों से प्रमाणीकरण करना पड़ता है और कमज़ोर या दोबारा इस्तेमाल किए गए पासवर्डों तथा बलपूर्वक किए जाने वाले हमलों का जोखिम समाप्त हो जाता है। पासवर्ड प्रमाणीकरण अक्षम करने से पहले सुनिश्चित करें कि कम-से-कम एक अधिकृत कुंजी स्थापित हो, ताकि आपकी अपनी पहुँच बंद न हो जाए।

AllowUsers और AllowGroups निर्देश SSH पहुँच को नामित उपयोगकर्ताओं या समूह के सदस्यों तक सीमित करते हैं। उदाहरण के लिए, AllowGroups sshusers केवल sshusers समूह के सदस्यों को अनुमति देता है। यह बहुस्तरीय सुरक्षा प्रदान करता है: भले ही किसी हमलावर को उपयोगकर्ता नाम पता हो और प्रमाण-पत्र मिल जाएँ, फिर भी खाते को स्पष्ट रूप से अनुमति दिए बिना SSH पहुँच अस्वीकार कर दी जाती है।

SSH को पोर्ट 22 से किसी बड़े क्रमांक वाले पोर्ट पर बदलना छिपाव का उपाय है, सुरक्षा का नहीं। फिर भी, इससे पोर्ट 22 को लक्ष्य बनाने वाले स्वचालित स्कैनरों के कारण लॉग में आने वाला अनावश्यक शोर काफ़ी कम हो जाता है। इससे वास्तविक खतरों के लिए लॉग का विश्लेषण करना आसान हो जाता है। फ़ायरवॉल नियमों को हमेशा प्राथमिक पहुँच नियंत्रण बनाए रखें; पोर्ट छिपाव केवल सहायक उपाय है।

PermitRootLogin no सेट करने से SSH के माध्यम से सीधे रूट प्रमाणीकरण को रोका जाता है। रूट को लक्ष्य बनाने वाले हमलावरों के पास एक निश्चित रूप से मान्य उपयोगकर्ता नाम और सफल होने पर असीमित विशेषाधिकार होते हैं। अनुशंसित सेटिंग PermitRootLogin prohibit-password है, जो रूट लॉगिन की अनुमति केवल सार्वजनिक कुंजी प्रमाणीकरण से देती है। इससे पासवर्ड-आधारित रूट पर बलपूर्वक किए जाने वाले हमले रुकते हैं और आपातकालीन पहुँच बनी रहती है।

MaxAuthTries 3 प्रत्येक कनेक्शन पर प्रमाणीकरण प्रयासों की संख्या को तीन तक सीमित करता है। तीन विफलताओं के बाद सर्वर कनेक्शन समाप्त कर देता है। इससे बलपूर्वक किए जाने वाले प्रयास धीमे हो जाते हैं। fail2ban या SSHGuard द्वारा किए जाने वाले घातांकीय विलंब के साथ, जो बार-बार विफलताओं के बाद IP को अस्थायी रूप से प्रतिबंधित करते हैं, बलपूर्वक किए जाने वाले हमले गणनात्मक रूप से अव्यावहारिक हो जाते हैं।

LoginGraceTime यह निर्धारित करता है कि सफल प्रमाणीकरण की प्रतीक्षा करने से पहले सर्वर कितनी देर तक रुके। डिफ़ॉल्ट 120 सेकंड है; इसे 20 सेकंड तक घटाने से धीमे बलपूर्वक किए जाने वाले प्रयास रुकते हैं और अप्रमाणित कनेक्शनों द्वारा संसाधन रोके रखने की समस्या कम होती है। ClientAliveInterval और ClientAliveCountMax कनेक्शन की स्थिति की जाँच को नियंत्रित करते हैं, ताकि निष्क्रिय या मृत सत्रों को काटा जा सके।

आधुनिक SSH कॉन्फ़िगरेशन में एल्गोरिदम को मज़बूत और आधुनिक विकल्पों तक सीमित रखना चाहिए। sshd_config में Ciphers को chacha20-poly1305@openssh.com,aes256-gcm@openssh.com पर, MACs को hmac-sha2-256-etm@openssh.com पर और KexAlgorithms को curve25519-sha256 पर सेट करें। इससे arcfour, DES और MD5-आधारित MACs जैसे पुराने एल्गोरिदम हट जाते हैं, जो पिछली संगतता के लिए उपलब्ध हो सकते हैं।

fail2ban प्रमाणीकरण लॉग की निगरानी करता है और विफल लॉगिन प्रयासों की निर्धारित सीमा पार करने वाले IP पतों को प्रतिबंधित करता है। किसी समय-अवधि के भीतर विफलताओं की कॉन्फ़िगर की गई संख्या पूरी होने के बाद, fail2ban उस IP से आने वाले आगे के पैकेट छोड़ने के लिए iptables नियम जोड़ देता है। यह स्वचालित प्रतिक्रिया मैन्युअल हस्तक्षेप के बिना बलपूर्वक किए जाने वाले हमलों को अव्यावहारिक बना देती है।

ssh-audit उपकरण SSH सर्वर से जुड़कर उसके कॉन्फ़िगरेशन का मूल्यांकन करता है: सर्वर कौन-से कुंजी विनिमय एल्गोरिदम, होस्ट कुंजी प्रकार, सिफ़र और MACs उपलब्ध कराता है, तथा पुराने या कमज़ोर विकल्पों को चिह्नित करता है। सुरक्षा-सुदृढ़ीकरण से पहले और बाद में अपने सर्वरों पर ssh-audit चलाने से पहले और बाद की स्थिति का वस्तुनिष्ठ आकलन मिलता है और कॉन्फ़िगरेशन की कमियाँ सामने आती हैं।

SSH प्रमाणीकरण घटनाएँ syslog के माध्यम से लॉग की जाती हैं। Linux पर /var/log/auth.log (Debian) या /var/log/secure (RHEL) प्रत्येक सफल और विफल लॉगिन का समय-मुद्रा, उपयोगकर्ता नाम, स्रोत IP और उपयोग की गई कुंजी का फ़िंगरप्रिंट सहित रिकॉर्ड रखता है। इन लॉग को किसी केंद्रीय SIEM को भेजने से असामान्य पहुँच पैटर्न का पता लगाया जा सकता है, जैसे अनपेक्षित देशों से या असामान्य समय पर होने वाले लॉगिन।

एक सुरक्षा-सुदृढ़ sshd_config में ये सेटिंग्स सम्मिलित होती हैं: PasswordAuthentication no, PermitRootLogin prohibit-password, MaxAuthTries 3, LoginGraceTime 20, AllowGroups sshusers, सीमित Ciphers और MACs, X11Forwarding no, तथा AllowTcpForwarding no (जब तक टनलिंग आवश्यक न हो)। प्रत्येक निर्देश एक विशिष्ट हमलावर मार्ग को हटाता है और सभी मिलकर बहुस्तरीय SSH सुरक्षा स्थिति बनाते हैं।

SSH सुरक्षा-सुदृढ़ीकरण जाँचसूची: पासवर्ड प्रमाणीकरण अक्षम करें, पहुँच को AllowGroups/AllowUsers तक सीमित करें, रूट लॉगिन अक्षम करें या उसे केवल कुंजी तक सीमित करें, MaxAuthTries 3 सेट करें, LoginGraceTime घटाएँ, एल्गोरिदम को केवल आधुनिक सिफ़र तक सीमित करें, fail2ban या SSHGuard लागू करें, वस्तुनिष्ठ आकलन के लिए ssh-audit चलाएँ और असामान्यता का पता लगाने हेतु लॉग को केंद्रीयकृत करें।