Härdning av SSH och bästa praxis för granskning

Det mest effektiva enskilda steget för att härda SSH är att ange PasswordAuthentication no i /etc/ssh/sshd_config. Detta tvingar alla användare att autentisera sig med publika nycklar och eliminerar riskerna med svaga eller återanvända lösenord samt brute force-attacker. Se till att minst en auktoriserad nyckel är installerad innan ni inaktiverar lösenordsautentisering, så att ni inte låser er ute.

Direktiven AllowUsers och AllowGroups begränsar SSH-åtkomst till namngivna användare eller medlemmar i grupper. Till exempel tillåter AllowGroups sshusers endast medlemmar av gruppen sshusers. Detta ger försvar i flera lager: även om en angripare känner till ett användarnamn och får tag i inloggningsuppgifter nekas SSH-åtkomst om kontot inte uttryckligen är tillåtet.

Att ändra SSH från port 22 till en port med högt nummer är en form av fördunkling, inte säkerhet. Det minskar dock avsevärt bruset i loggarna från automatiserade skannrar som riktar in sig på port 22. Därmed blir det enklare att analysera loggarna efter verkliga hot. Se alltid brandväggsreglerna som den primära åtkomstkontrollen; portfördunkling är endast en kompletterande åtgärd.

Genom att ange PermitRootLogin no förhindrar ni direkt root-autentisering via SSH. Angripare som riktar in sig på root har ett garanterat giltigt användarnamn och obegränsade behörigheter om de lyckas. Den rekommenderade inställningen är PermitRootLogin prohibit-password, som tillåter root-inloggning endast med autentisering med publika nycklar. Därmed blockeras lösenordsbaserad brute force mot root, samtidigt som nödåtkomst bevaras.

MaxAuthTries 3 begränsar antalet autentiseringsförsök per anslutning till tre. Efter tre misslyckanden avslutar servern anslutningen. Detta försvårar brute force-försök. I kombination med exponentiell backoff från fail2ban eller SSHGuard, som tillfälligt blockerar IP-adresser efter upprepade misslyckanden, blir brute force-attacker beräkningsmässigt ogenomförbara.

LoginGraceTime anger hur länge servern väntar på en lyckad autentisering innan den kopplar från. Standardvärdet är 120 sekunder; om det sänks till 20 sekunder förhindras långsamma brute force-försök och resursåtgången från oautentiserade anslutningar minskar. ClientAliveInterval och ClientAliveCountMax styr hälsokontroller av anslutningar och kan koppla från inaktiva eller döda sessioner.

Moderna SSH-konfigurationer bör begränsa algoritmerna till starka, moderna alternativ. I sshd_config anger ni Ciphers till chacha20-poly1305@openssh.com,aes256-gcm@openssh.com, MACs till hmac-sha2-256-etm@openssh.com och KexAlgorithms till curve25519-sha256. Detta eliminerar äldre algoritmer som arcfour, DES och MD5-baserade MAC:ar, vilka kan vara tillgängliga av kompatibilitetsskäl.

fail2ban övervakar autentiseringsloggar och blockerar IP-adresser som överskrider en gräns för misslyckade inloggningsförsök. Efter ett konfigurerbart antal misslyckanden inom ett tidsintervall lägger fail2ban till en iptables-regel som släpper alla ytterligare paket från den IP-adressen. Detta automatiserade svar gör brute force-attacker opraktiska utan manuell hantering.

Verktyget ssh-audit ansluter till en SSH-server och utvärderar dess konfiguration: vilka nyckelutbytesalgoritmer, värdnyckeltyper, chiffer och MAC:ar den erbjuder, samt flaggar föråldrade eller svaga alternativ. Genom att köra ssh-audit mot era servrar före och efter härdning får ni en objektiv jämförelse före och efter och kan identifiera eventuella luckor i konfigurationen.

SSH-autentiseringshändelser loggas via syslog. I Linux registrerar /var/log/auth.log (Debian) eller /var/log/secure (RHEL) varje lyckad och misslyckad inloggning tillsammans med tidsstämpel, användarnamn, käll-IP och det använda nyckelfingeravtrycket. Genom att skicka dessa loggar till ett centralt SIEM kan ni upptäcka ovanliga åtkomstmönster, till exempel inloggningar från oväntade länder eller vid ovanliga tider.

En härdad sshd_config kombinerar PasswordAuthentication no, PermitRootLogin prohibit-password, MaxAuthTries 3, LoginGraceTime 20, AllowGroups sshusers, begränsade Ciphers och MACs, X11Forwarding no samt AllowTcpForwarding no (om tunnling inte krävs). Varje direktiv tar bort en specifik angreppsmöjlighet, och tillsammans utgör de en SSH-konfiguration med försvar i flera lager.

Checklista för SSH-härdning: inaktivera lösenordsautentisering, begränsa åtkomsten med AllowGroups/AllowUsers, inaktivera root-inloggning eller begränsa den till enbart nyckelautentisering, ange MaxAuthTries 3, minska LoginGraceTime, begränsa algoritmerna till enbart moderna chiffer, införa fail2ban eller SSHGuard, köra ssh-audit för en objektiv bedömning och centralisera loggar för avvikelsedetektering.