Detecção de port forwarding SSH
Como atacantes usam o encaminhamento de portas do SSH para movimentação lateral e como habilitar os logs do sshd que revelam esse uso.
O encaminhamento de portas do SSH (port forwarding) é uma das técnicas mais usadas para movimentação lateral em ambientes Linux. Com ele, qualquer tráfego TCP pode ser encaminhado por dentro de uma conexão SSH, alcançando serviços que o atacante não conseguiria acessar diretamente.
No MITRE ATT&CK, essa atividade aparece em Remote Services: SSH (T1021.004) e, mais especificamente, em Protocol Tunneling (T1572).
Existem três tipos de encaminhamento de portas no SSH:
- local (
ssh -L): uma porta na máquina do atacante é encaminhada, através do servidor SSH, para um destino que o servidor alcança; - remoto (
ssh -R): o caminho inverso, em que uma porta aberta no servidor SSH é encaminhada de volta para a máquina do cliente; - dinâmico (
ssh -D): o cliente abre um proxy SOCKS, e o servidor SSH encaminha as conexões para qualquer destino.
Continue lendo com uma conta gratuita
Este é só o começo do artigo. Crie sua conta grátis na SecDay Labs para ler todos os artigos completos e praticar com desafios e laboratórios reais de cibersegurança.
- Como o atacante faz o encaminhamento
- Para um serviço da própria vítima
- Para um terceiro host, usando a vítima como pivô
- Como detectar
- Cenário 1: acesso ao MySQL da vítima
- Cenário 2: acesso a um host inalcançável
- Transformando em detecção
- Prevenção