Page History

Contexte

Le check Security SSH lit les fichiers de configuration de votre serveur SSH les affiche sous frome de tableau.

• Ce qui vous permet de consulter accès simplement la configuration de votre serveur SSH, sans devoir vous connecter dessus ( dans ce cas le check sera toujours en OK ).
• En plus, si vous le souhaitez, vous pouvez détecter si la configuration correspond à vos standards de sécurité en fournissant les valeurs des paramètres comme référence.
  • Par exemple, le standard sur le nombre maximum de clients connectés simultanément au serveur pourra être de 2, et le check sera en CRITIQUE, si un de vos serveurs est paramétré à 4.
    
    

Paramétrage

Le check utilise la ligne de commande suivante :

$LINUXBYSSH_SHINKEN_PLUGINSDIR$/check_linux_health_by_ssh_rust --check check_ssh_security
    -H "$HOSTADDRESS$"
    -u "$_HOSTSSH_USER$"
    -p "$_HOSTSSH_PORT$"
    -i "$_HOSTSSH_KEY$"
    -P "$_HOSTSSH_KEY_PASSPHRASE$"
    -w "$_HOSTSSH_SECURITY_WARN$"
    -v "$_HOSTSSH_PROTOCOL$","$_HOSTSSH_ROOT_LOGIN$","$_HOSTSSH_EMPTY_PASS$","$_HOSTSSH_PASS_AUTH$","$_HOSTSSH_USER_ENV$","$_HOSTSSH_MAX_AUTH$","$_HOSTSSH_ALIVE_INTERVAL$","$_HOSTSSH_ALIVE_MAX$"
    -T "$_HOSTSHINKEN_TMP_DIRNAME$"

Données utilisées provenant du modèle

Données communes pour les checks des modèles

Authentification

Données spécifiques pour ce check

Données utilisées provenant du check

Pas de données spécifiques pour ce check

Résultat

Dans ce premier résultat le paramètre SSH_SECURITY_WARN est défini à False, le check passe donc en OK, car il a réussi à trouver le fichier de configuration :

Interprétation des données

Statut

Métriques

Aucune métrique n'est renvoyée pour ce check

Erreurs et pré-requis

Erreurs de configuration de l'hôte à superviser ( spécifique à ce check )

 Can't read sshd configuration: Permission denied

L'utilisateur de supervision n'a pas accès aux fichiers de configuration sshd.

Les commandes suivantes permettront au groupe de l'utilisateur choisi pour votre supervision Shinken d'avoir un accès ( en lecture seule ) aux fichiers de configuration sshd.

Sans cet accès, la sonde ne fonctionnera pas et vous renverra le statut INCONNU.

Certains checks requièrent un accès spécifique à des fichiers.

• Pour ce faire, nous vous mettons à disposition une série de commandes.
  • Ces commandes permettront au groupe de l'utilisateur choisi pour votre supervision Shinken d'avoir un accès ( en lecture seule ) au fichier /etc/ssh/sshd_config, fichier comportant votre configuration SSH ainsi qu'au dossier /tmp ( en lecture, écriture et execution ).
• Sans cet accès, la sonde ne fonctionnera pas et vous renverra le statut INCONNU.

Commandes à éxecuter :

sed -i -e "s/create 0600/create 0640/g" /etc/logrotate.conf
chmod 640 /etc/ssh/sshd_config
chown root:user-service-shinken /etc/ssh/sshd_config
shinken_tmp_dirname="shinken"
mkdir --parents /tmp/$shinken_tmp_dirname
chown root:user-service-shinken /tmp/$shinken_tmp_dirname
chmod g+rwx /tmp/$shinken_tmp_dirname

1. La commande sed -i -e "s/create 0600/create 0640/g" /etc/logrotate.conf modifie les droits par défaut dans le fichier de configuration de logrotate.

• Cela garantit que, lors de la rotation des fichiers logs ( par défaut, chaque mois ), les permissions de lecture sur /etc/ssh/sshd_config pour le groupe ne seront pas rétablies à des niveaux plus restrictifs.

2. La commande chmod 640 /etc/ssh/sshd_config applique immédiatement les droits nécessaires.

• Le fichier de configuration SSH devient lisible par le groupe.
  

3. La commande chown root:user-service-shinken /etc/ssh/sshd_config modifie le groupe du fichier.

• Le propriétaire reste root, mais le groupe est désormais user-service-shinken. Cela permet à l'utilisateur de supervision d'accéder au fichier en lecture seule.

4.  La commande mkdir --parents /tmp/$shinken_tmp_dirname crée un récursivement un répertoire.

• Le répertoire créé est /tmp/shinken.
• Si un autre dossier de stockage des fichiers temporaire doit être utilisé, modifiez la première ligne : shinken_tmp_dirname="NouveauDossier" ainsi que la variable SHINKEN_TMP_DIRNAME attaché au modèle d'hôte.

5. La commande chown root:user-service-shinken /tmp/shinken modifie le groupe du dossier /tmp/shinken.

• Cela garantit que des droits peuvent être appliqués au groupe shinken sur ce dossier.

6. La commande chmod g+rwx /tmp/shinken applique immédiatement les droits nécessaires au dossier /tmp/shinken pour le groupe user-service-shinken.

• Les droits de lecture, d'écriture et d'exécution sont ajoutés au dossier. Cela permet aux sondes de créer et lire des fichiers dans le dossier /tmp/shinken.