SSH-hardening en best practices voor audits

De meest doeltreffende stap om SSH te beveiligen is het instellen van PasswordAuthentication no in /etc/ssh/sshd_config. Hierdoor moeten alle gebruikers zich met openbare sleutels authenticeren, waardoor het risico van zwakke of hergebruikte wachtwoorden en brute-forceaanvallen verdwijnt. Zorg dat er minstens één geautoriseerde sleutel is geïnstalleerd voordat je wachtwoordauthenticatie uitschakelt, zodat je jezelf niet buitensluit.

De richtlijnen AllowUsers en AllowGroups beperken SSH-toegang tot genoemde gebruikers of leden van groepen. Met AllowGroups sshusers krijgen bijvoorbeeld alleen leden van de groep sshusers toegang. Dit biedt meerdere verdedigingslagen: zelfs als een aanvaller een gebruikersnaam kent en inloggegevens bemachtigt, wordt SSH-toegang geweigerd tenzij het account expliciet is toegestaan.

SSH wijzigen van poort 22 naar een poort met een hoog nummer is verhulling, geen beveiliging. Het vermindert echter aanzienlijk de ruis in logboeken van geautomatiseerde scanners die poort 22 aanvallen. Daardoor zijn logboeken eenvoudiger te analyseren op echte bedreigingen. Houd firewallregels altijd aan als primaire toegangscontrole; poortverhulling is slechts een aanvullende maatregel.

Met PermitRootLogin no voorkom je directe root-authenticatie via SSH. Aanvallers die zich op root richten, beschikken over een gegarandeerd geldige gebruikersnaam en onbeperkte rechten als hun aanval slaagt. De aanbevolen instelling is PermitRootLogin prohibit-password. Daarmee is rootaanmelding alleen met authenticatie via een openbare sleutel mogelijk, worden op wachtwoorden gebaseerde brute-forceaanvallen op root geblokkeerd en blijft toegang voor noodgevallen behouden.

MaxAuthTries 3 beperkt het aantal authenticatiepogingen per verbinding tot drie. Na drie mislukte pogingen verbreekt de server de verbinding. Dit vertraagt brute-forcepogingen. In combinatie met de exponentiële wachttijd van fail2ban of SSHGuard, die IP-adressen na herhaalde mislukkingen tijdelijk blokkeren, worden brute-forceaanvallen rekenkundig onhaalbaar.

LoginGraceTime bepaalt hoelang de server op geslaagde authenticatie wacht voordat hij de verbinding verbreekt. De standaardwaarde is 120 seconden; door deze te verlagen naar 20 seconden voorkom je trage brute-forcepogingen en verminder je het vasthouden van systeembronnen door niet-geauthenticeerde verbindingen. ClientAliveInterval en ClientAliveCountMax regelen controles van de verbindingsstatus om inactieve of verbroken sessies te beëindigen.

Moderne SSH-configuraties moeten algoritmen beperken tot sterke, moderne opties. Stel in sshd_config Ciphers in op chacha20-poly1305@openssh.com,aes256-gcm@openssh.com, MACs op hmac-sha2-256-etm@openssh.com en KexAlgorithms op curve25519-sha256. Daarmee schakel je verouderde algoritmen zoals arcfour, DES en op MD5 gebaseerde MACs uit, die mogelijk voor achterwaartse compatibiliteit beschikbaar zijn.

fail2ban controleert authenticatielogboeken en blokkeert IP-adressen die een drempelwaarde voor mislukte aanmeldpogingen overschrijden. Na een instelbaar aantal mislukkingen binnen een tijdsvenster voegt fail2ban een iptables-regel toe die verdere pakketten van dat IP-adres laat vallen. Deze automatische reactie maakt brute-forceaanvallen onpraktisch zonder handmatige tussenkomst.

De tool ssh-audit maakt verbinding met een SSH-server en beoordeelt de configuratie: welke sleuteluitwisselingsalgoritmen, hostsleuteltypen, versleutelingsalgoritmen en MACs de server aanbiedt, en markeert verouderde of zwakke opties. Door ssh-audit vóór en na het beveiligen van je servers uit te voeren, krijg je een objectieve vergelijking van de situatie voor en na en ontdek je eventuele hiaten in de configuratie.

SSH-authenticatiegebeurtenissen worden via syslog vastgelegd. Op Linux registreert /var/log/auth.log (Debian) of /var/log/secure (RHEL) elke geslaagde en mislukte aanmelding met tijdstempel, gebruikersnaam, bron-IP-adres en gebruikte sleutelvingerafdruk. Door deze logboeken naar een gecentraliseerd SIEM te sturen, kun je ongebruikelijke toegangspatronen detecteren, zoals aanmeldingen vanuit onverwachte landen of op ongebruikelijke tijdstippen.

Een versterkte sshd_config combineert PasswordAuthentication no, PermitRootLogin prohibit-password, MaxAuthTries 3, LoginGraceTime 20, AllowGroups sshusers, beperkte Ciphers en MACs, X11Forwarding no en AllowTcpForwarding no (tenzij tunneling vereist is). Elke richtlijn neemt een specifieke aanvalsvector weg en samen vormen ze een SSH-beveiligingsopstelling met meerdere verdedigingslagen.

Checklist voor SSH-beveiliging: schakel wachtwoordauthenticatie uit, beperk toegang tot AllowGroups/AllowUsers, schakel rootaanmelding uit of beperk deze tot aanmelding met alleen sleutels, stel MaxAuthTries 3 in, verlaag LoginGraceTime, beperk algoritmen tot uitsluitend moderne versleutelingsalgoritmen, implementeer fail2ban of SSHGuard, voer ssh-audit uit voor een objectieve beoordeling en centraliseer logboeken voor anomaliedetectie.