Усиление защиты SSH и лучшие практики аудита

Наиболее эффективный шаг по усилению защиты SSH — задать PasswordAuthentication no в /etc/ssh/sshd_config. Это заставляет всех пользователей проходить аутентификацию с помощью открытых ключей, устраняя риски, связанные со слабыми или повторно используемыми паролями и атаками перебором. Перед отключением аутентификации по паролю убедитесь, что установлен хотя бы один разрешённый ключ, чтобы не заблокировать себе доступ.

Директивы AllowUsers и AllowGroups ограничивают доступ по SSH для указанных пользователей или участников групп. Например, AllowGroups sshusers разрешает доступ только участникам группы sshusers. Это обеспечивает эшелонированную защиту: даже если злоумышленник узнает имя пользователя и получит учётные данные, доступ по SSH будет запрещён, если для этой учётной записи он явно не разрешён.

Изменение порта SSH с 22 на порт с большим номером — это мера сокрытия, а не защиты. Однако она значительно уменьшает количество лишних записей в журналах от автоматических сканеров, нацеленных на порт 22. Благодаря этому журналы легче анализировать в поисках настоящих угроз. Всегда используйте правила межсетевого экрана как основной механизм контроля доступа; сокрытие порта может быть только дополнительной мерой.

Настройка PermitRootLogin no запрещает непосредственную аутентификацию суперпользователя через SSH. Атакующие, нацеленные на учётную запись root, получают гарантированно действительное имя пользователя и неограниченные права в случае успеха. Рекомендуемая настройка — PermitRootLogin prohibit-password: она разрешает вход суперпользователя только с помощью аутентификации по открытому ключу, блокируя перебор пароля root и сохраняя возможность аварийного доступа.

MaxAuthTries 3 ограничивает число попыток аутентификации для одного соединения тремя. После трёх неудач сервер разрывает соединение. Это замедляет попытки перебора. В сочетании с экспоненциальной задержкой, реализуемой fail2ban или SSHGuard, которые временно блокируют IP-адреса после повторяющихся неудач, атаки перебором становятся вычислительно неосуществимыми.

LoginGraceTime указывает, как долго сервер ожидает успешной аутентификации перед отключением. Значение по умолчанию — 120 секунд; уменьшение его до 20 секунд предотвращает медленные попытки перебора и сокращает удержание ресурсов неаутентифицированными соединениями. ClientAliveInterval и ClientAliveCountMax управляют проверками состояния соединения, отключая неактивные или неработающие сеансы.

Современные конфигурации SSH должны ограничивать набор алгоритмов надёжными и современными вариантами. В sshd_config задайте для Ciphers значения chacha20-poly1305@openssh.com,aes256-gcm@openssh.com, для MACs — hmac-sha2-256-etm@openssh.com, а для KexAlgorithms — curve25519-sha256. Это устраняет устаревшие алгоритмы, такие как arcfour, DES и MAC на основе MD5, которые могут оставаться доступными для обратной совместимости.

fail2ban отслеживает журналы аутентификации и блокирует IP-адреса, для которых превышен порог неудачных попыток входа. После заданного числа неудач за определённый промежуток времени fail2ban добавляет правило iptables, отбрасывающее дальнейшие пакеты с этого IP-адреса. Такая автоматическая реакция делает атаки перебором практически неосуществимыми без ручного вмешательства.

Инструмент ssh-audit подключается к SSH-серверу и оценивает его конфигурацию: какие алгоритмы обмена ключами, типы ключей сервера, шифры и MAC он предлагает, а также отмечает устаревшие или слабые варианты. Запуск ssh-audit на серверах до и после усиления защиты даёт объективную оценку изменений и помогает выявить пробелы в конфигурации.

События аутентификации SSH записываются через syslog. В Linux файл /var/log/auth.log (Debian) или /var/log/secure (RHEL) регистрирует каждый успешный и неудачный вход, включая метку времени, имя пользователя, исходный IP-адрес и отпечаток использованного ключа. Отправка этих журналов в централизованную SIEM позволяет обнаруживать необычные модели доступа, например входы из неожиданных стран или в необычное время.

Усиленная конфигурация sshd_config объединяет следующие настройки: PasswordAuthentication no, PermitRootLogin prohibit-password, MaxAuthTries 3, LoginGraceTime 20, AllowGroups sshusers, ограниченные наборы Ciphers и MACs, X11Forwarding no и AllowTcpForwarding no (если туннелирование не требуется). Каждая директива устраняет определённый вектор атаки, а вместе они формируют эшелонированную защиту SSH.

Контрольный список усиления защиты SSH: отключите аутентификацию по паролю, ограничьте доступ с помощью AllowGroups/AllowUsers, отключите вход суперпользователя или разрешите его только по ключу, задайте MaxAuthTries 3, уменьшите LoginGraceTime, ограничьте алгоритмы только современными шифрами, разверните fail2ban или SSHGuard, запускайте ssh-audit для объективной оценки и централизуйте журналы для обнаружения аномалий.