Учетная запись SSH

Общее определение

Учетные записи типа SSH используются для безагентного сканирования linux-активов и сетевых устройств.

Для безагентного сканирования linux-активов необходима учетная запись с привилегиями sudo или находящаяся в группе root. Учетные записи на linux-активе можно использовать в связке non-root+root или root отдельно.

Для каждого linux-актива можно дополнительно указать непривилигированную учётную запись, которая будет использоваться для подключения к Активу. После подключения будет выполнено повышение привилегий с использованием привилегированной учетной записи (запуск команд с sudo), указанной на Активе.

Создание учетной записи

Для создания учетной записи на странице «Учетные записи» нужно выбрать пункт меню «Добавить учетную запись».

Для учетных записей заполняются обязательные поля:

• хранилище учетных записей,
• имя учетной записи,
• тип.

При создании учетной записи указывается список активов, к которым она будет привязана.

SSH ключ

Для учетной записи можно использовать следующие типы реквизитов:

• логин + пароль,
• имя + ключ SSH (с парольной фразой при необходимости).

При создании учетной записи нужно указать, является ли она привилегированной (обладает правами root).

Для использования существующих SSH ключей:

• Содержимое публичного ключа должно быть в authorized_keys файле (root/.ssh/authorized_keys или /home/<USER>/.ssh/authorized_keys) на «хосте-активе».
• Полное значение приватного ключа потребуется при создании SSH учетной записи через веб-интерфейс Системы.

Для генерации SSH ключей:

• На любом Linux хосте сгенерировать приватный и публичный ключи следующей командой: ssh-keygen -t ed25519 -f ./key -C vulns.io_onpremise.
• Содержимое файла публичного ключа ./key.pub полностью скопировать на «хост-актив» в authorized_keys файл (root/.ssh/authorized_keys или /home/<USER>/.ssh/authorized_keys). Это можно сделать вручную, либо выполнить команду ssh-copy-id -i ./key.pub <USER>@<IP_ADDRESS>.
• Полное содержимое файла приватного ключа ./key потребуется при создании SSH учетной записи через веб-интерфейс Системы.

Использование ssh-rsa SHA1 ключей считается устаревшей практикой. Если используются такие ключи, то возможны ошибки подключения: «All configured authentication methods failed». Решением со стороны «хоста-актива» является добавление строки PubkeyAcceptedKeyTypes=+ssh-rsa в файл /etc/ssh/sshd_config и последующий рестарт SSH сервера командой systemctl restart sshd.

Операции с учетными записями

После сохранения учетной записи можно проверить подключение к любому ip-адресу. Для этого в форме редактирования учетной записи в блоке «Проверить учётную запись» нужно указать ip-адрес и нажать кнопку «Проверить».

Просмотреть список всех созданных учетных записей типа SSH можно, установив фильтр «Тип = SSH».

Чтобы привязать учетную запись к определенному активу, нужно в метаблоке карточки этого актива напротив соответствующего поля нажать «Добавить».

В Кабинете доступны следующие операции с учетными записями:

• редактирование,
• удаление,
• проверка подключения.

Все операции с учетными записями фиксируются в журналах действий пользователей (они доступны в разделе «Система / Журналы» Кабинета).

Заключение

Использование сетевого протокола SSH для безагентного подключения является надежным и востребованным способом осуществления доступа к linux-активам, для которых невозможна или нежелательна установка Агента.