Adică nu mai stă hackeru‘ să introducă parola de mână pentru userul de SSH, are scripturi.
În acest material discutăm despre SSH, protocolul utilizat pentru administrarea și accesarea de la distanță a serverelor Linux.
SSH (Secure Shell) reprezintă una dintre cele mai importante tehnologii utilizate pentru administrarea de la distanță a serverelor Linux. De la servere personale și VPS-uri până la infrastructuri enterprise, protocolul este folosit zilnic de administratori pentru configurare, mentenanță și automatizarea diverselor procese.
De-a lungul timpului, majoritatea cercetărilor privind atacurile asupra serviciilor SSH au presupus că, odată autentificați, atacatorii deschid o sesiune interactivă și execută manual comenzi. În consecință, numeroase honeypot-uri au fost proiectate special pentru a simula un terminal Linux și pentru a observa comportamentul atacatorilor.
O nouă cercetare demonstrează însă că această presupunere nu mai reflectă realitatea actuală a amenințărilor cibernetice. Majoritatea covârșitoare a atacurilor moderne sunt complet automatizate și folosesc mecanisme non-interactive, ceea ce înseamnă că multe sisteme de monitorizare pot rata activitatea malițioasă.
Studiu: 99,23% dintre sesiunile SSH autentificate au fost non-interactive
Cercetători din domeniul securității informatice au analizat traficul colectat de unsprezece honeypot-uri SSH configurate pentru a accepta atât conexiuni interactive, cât și non-interactive, pe o perioadă de 15 zile. În total au fost înregistrate 177.622 de sesiuni autentificate, iar rezultatele au fost comparate și validate folosind un set independent de date provenit din popularul honeypot Cowrie.
Rezultatele sunt surprinzătoare: 99,23% dintre toate sesiunile autentificate au fost non-interactive, în timp ce doar aproximativ 0,10% au implicat un terminal interactiv clasic. Acest lucru arată că atacatorii moderni preferă execuția automată de comenzi și scripturi, fără intervenție umană directă.
Potrivit autorilor studiului, această schimbare are implicații importante pentru cercetarea în domeniul securității. Honeypot-urile care analizează exclusiv comenzile introduse manual sau durata unei sesiuni interactive pot ignora aproape întreaga activitate desfășurată după autentificare, oferind astfel o imagine incompletă asupra tacticilor folosite de atacatori.
Ce este SSH și unde este utilizat
SSH (Secure Shell) este protocolul standard utilizat pentru administrarea securizată a sistemelor de operare Linux și Unix prin intermediul unei conexiuni criptate. Acesta înlocuiește protocoalele vechi precum Telnet și permite autentificarea utilizatorilor, execuția comenzilor la distanță, transferul securizat al fișierelor și realizarea de tuneluri criptate.
În practică, majoritatea serverelor Linux sunt administrate prin SSH. Distribuții populare precum Ubuntu, Debian, Rocky Linux și AlmaLinux folosesc în mod obișnuit serviciul OpenSSH pentru administrarea de la distanță, atât în centre de date, cât și în medii cloud sau infrastructuri private.
Din acest motiv, serviciul SSH reprezintă una dintre principalele ținte ale atacurilor automate de tip brute-force, credential stuffing sau exploatarea credențialelor compromise.
Cum poate fi securizat accesul SSH
Expunerea portului SSH direct pe Internet crește semnificativ suprafața de atac. Specialiștii recomandă limitarea accesului doar la dispozitivele care au nevoie de administrare.
O primă măsură eficientă este permiterea conexiunilor SSH exclusiv din rețeaua locală (LAN). Dacă administrarea de la distanță este necesară, accesul ar trebui realizat prin intermediul unui VPN, astfel încât serviciul SSH să nu fie expus public pe Internet.
De asemenea, autentificarea bazată pe chei SSH este considerată mult mai sigură decât utilizarea parolelor. Cheia privată ar trebui protejată suplimentar cu o passphrase puternică, astfel încât compromiterea fișierului să nu permită automat accesul la server.
Alte măsuri recomandate includ dezactivarea autentificării cu parolă atunci când este posibil, interzicerea autentificării directe a utilizatorului root, actualizarea regulată a serverului și utilizarea unor mecanisme precum Fail2Ban pentru blocarea tentativelor repetate de autentificare.
Concluzie
Noua cercetare confirmă faptul că atacurile SSH au devenit aproape complet automatizate, iar metodele tradiționale de analiză nu mai surprind întregul tablou al amenințărilor. Administratorii trebuie să presupună că orice serviciu SSH expus pe Internet va fi scanat și atacat constant de boți automatizați.
Limitarea accesului prin VPN sau doar din rețeaua locală, utilizarea autentificării cu chei protejate prin passphrase și aplicarea unor politici stricte de acces rămân printre cele mai eficiente metode de reducere a riscului, în special pentru serverele Linux administrate prin SSH, indiferent că rulează Ubuntu, Debian, Rocky Linux sau AlmaLinux.
Dacă aveți nevoie de ajutor pentru securizarea infrastructurii companiei, vă stăm la dispoziție.
Zemernett este o companie de prestari servicii IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, punând activ umărul la dezvoltarea IT a companiilor client.
