SSH 检查器

SSH 检查器概述

类型

检查器（服务）

使用方式

检测

实例类型

多实例

所需其他检查器

无

已启用

true

安全外壳协议 (SSH) 是一种网络协议，支持客户端和服务器通过不安全网络进行安全通信。SSH 支持建立隧道，并使用公共密钥加密对远程主机进行身份验证。

您可以使用 SSH 安全地传输文件，或登录远程主机并与命令行交互。SSH 协议相对于 TCP、UDP 或 SCTP 使用端口 22。

ssh 检查器解码流数据包并检测以下 SSH 漏洞：

  • 质询-响应缓冲区溢出攻击

  • CRC-32 攻击

  • SecureCRT SSH 客户端缓冲区溢出攻击

  • SSH 消息方向不正确

如果主机之间的网络连接已加密，则身份验证后会发生质询响应缓冲区溢出和 CRC-32 攻击。这两种类型的攻击都在身份验证挑战之后立即向服务器发送超过 20 KB 的反常态大量负载。

ssh 检查器通过计算传输到服务器的字节数来检测质询响应缓冲区溢出和 CRC-32 攻击。如果字节超过在预定义数据包数量内定义的限制，则 ssh 检查器会生成警报。CRC-32 攻击仅适用于 SSH 版本 1；质询-响应缓冲区溢出攻击仅适用于 SSH 版本 2。ssh 检查器在会话开始时读取 SSH 版本字符串，以识别攻击类型。

密钥交换前，如果主机试图保护连接，会发生 SecureCRT SSH 客户端缓冲溢出和协议不匹配攻击。SecureCRT SSH 客户端缓冲溢出攻击会向客户端发送过长的协议标识符字符串，从而导致缓冲区溢出。如果非 SSH 客户端应用试图连接到安全 SSH 服务器或者服务器和客户端的版本号不匹配，会出现协议不匹配攻击。


注
ssh 检查器不处理暴力攻击。

配置 SSH 检查器的最佳实践

我们建议您使用默认的 ssh 检查器配置配置设置。如果超过 max_encrypted_packets 参数中定义的会话加密数据包的最大数量，则 ssh 检查器会停止处理该会话的流量以提高性能。 ssh 检查器仅检测在 SSH 会话开始时出现的 SSH 漏洞。


注

如果 ssh 检查器在质询-响应溢出或 CRC 32 上生成误报，您可以使用 max_client_bytes 参数增加所需的客户端字节数。

SSH 检查器参数

SSH 服务配置

绑定程序 检查器定义 SSH 服务 配置。有关详细信息，请参阅绑定程序检查器概述。

示例： 
[
    {
        "when": {
            "service": "ssh",
            "role": any
        },
        "use": {
            "type": "ssh"
        }
    }
]

max_encrypted_packets

指定在 ssh 检查器忽略 SSH 会话之前要检查的最大加密数据包数。如果超过会话的加密数据包的最大数量，则 ssh 检查器会停止处理该会话的流量以提高性能。

类型： 整数

有效范围： -1 至 65535

默认值： 25

max_client_bytes

指定在 ssh 检查器对质询-响应溢出或 CRC 32 发出警报之前，要传输到服务器的最大无应答字节数。如果在发送 max_encrypted_packets 之前超出 max_client_bytes 限制，则检查器会假设已发生攻击并忽略流量。

您可以启用规则 128:1 以在检查器检测到质询-响应溢出时生成警报，或启用规则 128:2 以在检查器检测到 CRC 32 漏洞攻击时生成警报。

对于客户端从服务器接收的每个有效响应， ssh 检查器会重置 max_client 字节数的数据包计数。


注
我们不建议您将 max_client_bytes 设置为 0 或 1。如果将 max_client_bytes 设置为 0 或 1，则 ssh 检查器始终发出警报。

类型： 整数

有效范围： 0 至 65535

默认值： 19600

max_server_version_len

指定 SSH 服务器版本字符串的最大长度。如果 SSH 服务器版本字符串的长度超过 max_server_version_len，则 ssh 检查器会生成警报。您可以启用规则 128:3，以在 Secure CRT 服务器版本字符串溢出时发出警报。

类型： 整数

有效范围：0 至 255

默认值： 80


注
ssh 检查器默认配置不启用任何警报。

SSH 检查器规则

启用 ssh inspector rules to 生成事件并在内联部署中丢弃攻击性数据包。

表 1. SSH 检查器规则

GID:SID

Rule Message

128:1

质询-响应溢出攻击

128:2

SSH1 CRC32 攻击

128:3

服务器版本字符串溢出

128:5

错误消息方向

128:6

给定负载的负载大小不正确

128:7

SSH 版本字符串检测失败

SSH 检查器入侵规则选项

ssh 检查器没有任何入侵规则选项。