Détection d’une persistance SSH
Le projet en bref
- Contexte
- Exercice de détection sur des données fictives, autour du fichier authorized_keys.
- Mon rôle
- Analyse du rapprochement entre un inventaire de clés approuvées et des événements d’authentification.
- Livrable consultable
- Traces du scénario et analyse.
- Résultat et limites
- Le scénario relie une clé absente de l’inventaire à une connexion acceptée. Il illustre une méthode de détection ; aucune intervention sur un système réel n’est rapportée.
Difficulté technique
Une connexion SSH acceptée prouve qu’une clé a permis l’authentification, mais ne suffit pas à établir que cet accès était autorisé. Il faut disposer d’un inventaire de référence.
L’analyse rapproche l’empreinte de la clé, le compte et l’heure. La clé inconnue est ensuite examinée avec les sessions ouvertes et les traces conservées. Dans cet exercice, les événements sont simplifiés pour rendre ce raisonnement lisible.
Exercice de détection · Données fictives
Le fichier authorized_keys indique quelles clés
publiques peuvent authentifier un compte SSH. Une clé ajoutée sans
autorisation peut permettre de revenir sur le système. MITRE
ATT&CK classe ce scénario sous
T1098.004.
Comparer l’inventaire et le journal
Inventaire approuvé compte labo clé A
09:14 compte labo clé B ajoutée
09:18 compte labo clé B acceptée par SSHVoir l’analyse
La clé B est absente de l’inventaire. Le journal indique qu’elle a servi à authentifier une connexion. En pratique, on rapproche les événements par l’empreinte de la clé, le compte et l’heure.
Conserver les traces, retirer la clé inconnue, examiner les sessions ouvertes et vérifier que la clé approuvée fonctionne toujours.