Hartowanie SSH i najlepsze praktyki audytowe

Najskuteczniejszym pojedynczym krokiem utwardzania SSH jest ustawienie PasswordAuthentication no w pliku /etc/ssh/sshd_config. Wymusza to uwierzytelnianie wszystkich użytkowników za pomocą kluczy publicznych, eliminując ryzyko związane ze słabymi lub ponownie używanymi hasłami oraz atakami brute force. Przed wyłączeniem uwierzytelniania hasłem należy upewnić się, że zainstalowano co najmniej jeden autoryzowany klucz, aby uniknąć zablokowania sobie dostępu.

Dyrektywy AllowUsers i AllowGroups ograniczają dostęp SSH do wskazanych użytkowników lub członków grup. Na przykład AllowGroups sshusers zezwala na dostęp wyłącznie członkom grupy sshusers. Zapewnia to dodatkową warstwę ochrony: nawet jeśli atakujący zna nazwę użytkownika i zdobędzie dane uwierzytelniające, dostęp SSH zostanie odrzucony, chyba że konto zostało wyraźnie dopuszczone.

Zmiana portu SSH z 22 na port o wysokim numerze jest formą ukrywania, a nie zabezpieczeniem. Znacznie ogranicza jednak ilość wpisów w dziennikach generowanych przez automatyczne skanery atakujące port 22. Ułatwia to analizowanie dzienników pod kątem rzeczywistych zagrożeń. Reguły zapory sieciowej należy zawsze traktować jako podstawowy mechanizm kontroli dostępu; ukrywanie portu jest wyłącznie środkiem dodatkowym.

Ustawienie PermitRootLogin no uniemożliwia bezpośrednie uwierzytelnianie użytkownika root przez SSH. Atakujący obierający za cel konto root ma zagwarantowaną prawidłową nazwę użytkownika, a w razie powodzenia uzyskuje nieograniczone uprawnienia. Zalecane ustawienie to PermitRootLogin prohibit-password, które zezwala na logowanie roota wyłącznie za pomocą uwierzytelniania kluczem publicznym, blokując ataki brute force na konto root z użyciem haseł, a jednocześnie zachowując dostęp awaryjny.

MaxAuthTries 3 ogranicza liczbę prób uwierzytelniania w ramach jednego połączenia do trzech. Po trzech nieudanych próbach serwer kończy połączenie. Spowalnia to próby brute force. W połączeniu z wykładniczym wydłużaniem odstępów realizowanym przez fail2ban lub SSHGuard, które tymczasowo blokują adresy IP po wielokrotnych niepowodzeniach, ataki brute force stają się praktycznie niewykonalne obliczeniowo.

LoginGraceTime określa, jak długo serwer czeka na pomyślne uwierzytelnienie przed rozłączeniem. Wartość domyślna wynosi 120 sekund; zmniejszenie jej do 20 sekund zapobiega powolnym próbom brute force i ogranicza zużycie zasobów przez nieuwierzytelnione połączenia. ClientAliveInterval i ClientAliveCountMax kontrolują sprawdzanie stanu połączenia, aby rozłączać bezczynne lub nieaktywne sesje.

Nowoczesne konfiguracje SSH powinny ograniczać algorytmy do silnych, współczesnych opcji. W sshd_config należy ustawić Ciphers na chacha20-poly1305@openssh.com,aes256-gcm@openssh.com, MACs na hmac-sha2-256-etm@openssh.com, a KexAlgorithms na curve25519-sha256. Eliminuje to starsze algorytmy, takie jak arcfour i DES, oraz oparte na MD5 kody uwierzytelniania wiadomości, które mogą być dostępne w celu zachowania zgodności wstecznej.

fail2ban monitoruje dzienniki uwierzytelniania i blokuje adresy IP, które przekroczą ustalony próg nieudanych prób logowania. Po skonfigurowanej liczbie niepowodzeń w określonym przedziale czasu fail2ban dodaje regułę iptables odrzucającą kolejne pakiety z tego adresu IP. Ta automatyczna reakcja sprawia, że ataki brute force stają się niepraktyczne bez konieczności ręcznej interwencji.

Narzędzie ssh-audit łączy się z serwerem SSH i ocenia jego konfigurację: sprawdza oferowane algorytmy wymiany kluczy, typy kluczy hosta, szyfry i kody MAC oraz wskazuje przestarzałe lub słabe opcje. Uruchomienie ssh-audit przeciwko serwerom przed utwardzeniem i po nim zapewnia obiektywną ocenę stanu przed zmianami i po nich oraz pozwala wykryć luki w konfiguracji.

Zdarzenia uwierzytelniania SSH są rejestrowane za pośrednictwem syslog. W systemie Linux plik /var/log/auth.log (Debian) lub /var/log/secure (RHEL) zapisuje każde udane i nieudane logowanie wraz ze znacznikiem czasu, nazwą użytkownika, źródłowym adresem IP i użytym odciskiem palca klucza. Przesyłanie tych dzienników do centralnego systemu SIEM umożliwia wykrywanie nietypowych wzorców dostępu, takich jak logowania z nieoczekiwanych krajów lub o nietypowych porach.

Utwardzony plik sshd_config łączy ustawienia: PasswordAuthentication no, PermitRootLogin prohibit-password, MaxAuthTries 3, LoginGraceTime 20, AllowGroups sshusers, ograniczone wartości Ciphers i MACs, X11Forwarding no oraz AllowTcpForwarding no (chyba że tunelowanie jest wymagane). Każda dyrektywa usuwa konkretny wektor ataku, a wszystkie razem tworzą wielowarstwowe zabezpieczenie SSH.

Lista kontrolna utwardzania SSH: wyłączyć uwierzytelnianie hasłem, ograniczyć dostęp za pomocą AllowGroups/AllowUsers, wyłączyć logowanie roota lub ograniczyć je do kluczy, ustawić MaxAuthTries 3, skrócić LoginGraceTime, ograniczyć algorytmy wyłącznie do nowoczesnych szyfrów, wdrożyć fail2ban lub SSHGuard, uruchamiać ssh-audit w celu obiektywnej oceny oraz centralizować dzienniki na potrzeby wykrywania anomalii.