Fandinihana ny hetsiky ny mpampiasa rehefa nampiasa ny mari-pankasitrahana SSH
Namaky be tato ho ato aho mari-pankasitrahana SSH ary tiako ny tombony entiny.
Alohan'ny fotoana fampiasam-bola amin'ny fananganana POC ahy manokana dia tiako ho fantatra hoe amin'ny fomba ahoana (raha sanatria) azo atao ny manadihady ny hetsiky ny mpampiasa rehefa mampiasa SSH Certificat . Araka ny fahazoako azy, ny lakilem-bahoaka ampiasain'ny mpampiasa dia soniavin'ny CA, miaraka amina Mpitantana iray na maromaro (oh: faka),mamela ny mpampiasa hisoloky ny mpampiantrano ho toy ny talen-tsekoly. Rehefa miditra ao amin'ilay mpampiantrano lavitra ny mpampiasa dia raisin'ny authlog ny anarana ho ID, ka fantatsika hoe iza no niditra ho "faka" lehibe. Na izany aza, raha vao miditra ny mpampiasa, ahoana no ahafahantsika manadihady ny asany amin'ny alàlan'ny fitaovana toy ny auditd (na safidy hafa) ary mamatotra azy amin'ny mpampiasa manokana, fa tsy hoe, milaza hoe "faka" lehibe "?
Lahatsoratra iray ohatra manondro ny fananganana SSH Certificate based auth dia eto
Сертификаты SSH являются хорошей идеей, особенно в случае, если там существует хорошая установка CA.
, Поскольку у меня нет установки как это вокруг, я могу просто предоставить некоторую подробную информацию о auditd в средах LDAP/sudo. Интересные значения здесь AUID. Этот идентификатор просто установлен однажды при входе в систему пользователя и наследован [1 137] весь другие выполняемые команды. Даже после успешного sudo это установлено на правильное значение.
, Например, посмотрите этот демонстрационный журнал от ssh сопровождаемый sudo выполнение приблизительно ls команды:
type=SYSCALL msg=audit(1578248454.617:38779): arch=c000003e syscall=59 success=yes exit=0 a0=561f7a660c60 a1=561f7a687970 a2=561f7a650dc0 a3=8 items=2 ppid=335333 pid=335427 auid=1000 uid=1000 gid=1000 euid=1000 suid=1000 fsuid=1000 egid=1000 sgid=1000 fsgid=1000 tty=pts4 ses=5 comm="ls" exe="/usr/bin/ls" subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key="execve_rule"ARCH=x86_64 SYSCALL=execve AUID="hargut" UID="hargut" GID="hargut" EUID="hargut" SUID="hargut" FSUID="hargut" EGID="hargut" SGID="hargut" FSGID="hargut"
type=EXECVE msg=audit(1578248454.617:38779): argc=2 a0="ls" a1="--color=auto"
type=CWD msg=audit(1578248454.617:38779): cwd="/home/hargut"
type=PATH msg=audit(1578248454.617:38779): item=0 name="/usr/bin/ls" inode=1311269 dev=fd:00 mode=0100755 ouid=0 ogid=0 rdev=00:00 obj=system_u:object_r:bin_t:s0 nametype=NORMAL cap_fp=0 cap_fi=0 cap_fe=0 cap_fver=0 cap_frootid=0OUID="root" OGID="root"
type=PATH msg=audit(1578248454.617:38779): item=1 name="/lib64/ld-linux-x86-64.so.2" inode=1311092 dev=fd:00 mode=0100755 ouid=0 ogid=0 rdev=00:00 obj=system_u:object_r:ld_so_t:s0 nametype=NORMAL cap_fp=0 cap_fi=0 cap_fe=0 cap_fver=0 cap_frootid=0OUID="root" OGID="root"
type=PROCTITLE msg=audit(1578248454.617:38779): proctitle=6C73002D2D636F6C6F723D6175746F
после переключения с sudo su
type=SYSCALL msg=audit(1578248552.217:38816): arch=c000003e syscall=59 success=yes exit=0 a0=559f01994380 a1=559f019869c0 a2=559f01984000 a3=8 items=2 ppid=335442 pid=335478 auid=1000 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts4 ses=5 comm="ls" exe="/usr/bin/ls" subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key=(null)ARCH=x86_64 SYSCALL=execve AUID="hargut" UID="root" GID="root" EUID="root" SUID="root" FSUID="root" EGID="root" SGID="root" FSGID="root"
type=EXECVE msg=audit(1578248552.217:38816): argc=3 a0="ls" a1="--color=auto" a2="hello"
type=CWD msg=audit(1578248552.217:38816): cwd="/home/hargut"
type=PATH msg=audit(1578248552.217:38816): item=0 name="/bin/ls" inode=1311269 dev=fd:00 mode=0100755 ouid=0 ogid=0 rdev=00:00 obj=system_u:object_r:bin_t:s0 nametype=NORMAL cap_fp=0 cap_fi=0 cap_fe=0 cap_fver=0 cap_frootid=0OUID="root" OGID="root"
type=PATH msg=audit(1578248552.217:38816): item=1 name="/lib64/ld-linux-x86-64.so.2" inode=1311092 dev=fd:00 mode=0100755 ouid=0 ogid=0 rdev=00:00 obj=system_u:object_r:ld_so_t:s0 nametype=NORMAL cap_fp=0 cap_fi=0 cap_fe=0 cap_fver=0 cap_frootid=0OUID="root" OGID="root"
type=PROCTITLE msg=audit(1578248552.217:38816): proctitle=6C73002D2D636F6C6F723D6175746F0068656C6C6F
вышеупомянутые значения были прослежены следующим контрольным правилом:
-a exit,always -F arch=b64 -S execve -k execve_rule
, Чтобы полностью покрыть систему и весь execve syscalls было бы необходимо добавить дополнительное правило для [1 110].
Важный то, что контрольные журналы часто содержат несколько строк, которые принадлежат вместе. Так обычно большинство execve записи будет иметь 5-6 строк для каждого выполнения. Эти строки могут коррелироваться контрольным идентификатором в этом случае, например, 1578248454.617:38779 или 1578248552.217:38816. Это явно видимо, что UID и GID для второго вызова 0, что означает эффективно root, все еще AUID установлен на [1 119], который соответствует идентификатору пользователя в системе.
https://linux.die.net/man/8/auditd.conf
auditd.conf опция log_format = ENRICHED будет полезна для разрешения идентификатора к именам. Это доступно от auditd> 2.6.
оператор, что authlog получения корректный пользователь приводит меня к предположению, что это это будет работать тот же путь CA базирующаяся аутентификация. Сообщите мне, когда-то проверенный, если это предположение верно.