SSH-Artefakte: authorized_keys, known_hosts und sshd-Logs

Was es ist

OpenSSH hinterlässt Spuren an beiden Enden einer Verbindung. Auf der Serverseite legt authorized_keys fest, welche öffentlichen Schlüssel sich an einem Konto anmelden dürfen, sshd_config setzt die Regeln, und sshd protokolliert jeden erfolgreichen und fehlgeschlagenen Versuch. Auf der Clientseite hält known_hosts die Server fest, mit denen sich ein Benutzer verbunden hat, und ~/.ssh/config benennt sie oft. Zusammen beantworten sie die beiden Kernfragen der meisten Linux-Einbrüche: Wie ist der Angreifer hineingekommen, und wohin ist er danach gegangen?

Einen Schlüssel zu authorized_keys hinzuzufügen gehört zu den häufigsten Persistenztechniken unter Linux (MITRE ATT&CK T1098.004), weil es das Zurücksetzen von Passwörtern übersteht.

Wo es liegt

Was es belegt

• Zugriffsmöglichkeit: Jeder Schlüssel in authorized_keys kann sich als dieses Konto anmelden, im Rahmen seiner Optionen und der sshd_config.
• Tatsächliche Anmeldungen: Zeilen mit Accepted publickey oder Accepted password belegen eine erfolgreiche Authentifizierung mit Quell-IP, Port und (bei Schlüsseln) dem Fingerprint des Schlüssels.
• Versuche: Failed password, Invalid user und ähnliche Zeilen zeigen Brute-Force-Angriffe und das Erraten von Benutzernamen.
• Ausgehende Bewegung: known_hosts und ~/.ssh/config zeigen, dass sich das Konto mit anderen Hosts verbunden hat, auch ohne Shell-History.
• Nicht belegt: Ein Schlüsselkommentar (user@host) ist Freitext, geschrieben von demjenigen, der den Schlüssel erzeugt hat. known_hosts-Einträge tragen kein Datum und zeigen nicht, dass eine Anmeldung gelang, sondern nur, dass ein Host-Key akzeptiert wurde.

Wichtige Felder

Optionen in authorized_keys (kommagetrennt, vor dem Schlüsseltyp):

known_hosts: [marker] hostnames keytype base64key [comment]. Gehashte Einträge beginnen mit |1| (Salt und HMAC), die Hostnamen lassen sich also nicht direkt lesen. Debian und Ubuntu liefern HashKnownHosts yes in /etc/ssh/ssh_config aus; der Upstream-Standard ist no.

Direktiven in sshd_config: AuthorizedKeysFile, AuthorizedKeysCommand, AuthorizedPrincipalsFile, TrustedUserCAKeys, PermitRootLogin (Standard prohibit-password), PasswordAuthentication, PermitUserEnvironment (Standard no), ForceCommand, Match-Blöcke, LogLevel (Standard INFO), SyslogFacility.

Logzeilen (Prozess sshd, ab OpenSSH 9.8 auch sshd-session; ab 10.0 können einige Meldungen auch von sshd-auth stammen):

Accepted publickey for deploy from 198.51.100.7 port 51522 ssh2: ED25519 SHA256:<fingerprint>
Accepted password for deploy from 203.0.113.50 port 40318 ssh2
Failed password for invalid user admin from 203.0.113.50 port 40022 ssh2
Invalid user admin from 203.0.113.50 port 40022

Zeitstempel

Schlüssel- und Konfigurationsdateien haben nur Dateisystemzeiten: Die mtime von authorized_keys ändert sich bei jedem Hinzufügen oder Entfernen eines Schlüssels, und die ctime lässt sich mit touch nicht setzen. Syslog-Dateien (auth.log, secure) verwenden die lokale Zeitzone und im klassischen Format kein Jahr; das Journal speichert __REALTIME_TIMESTAMP in Mikrosekunden seit 1970-01-01 UTC. expiry-time-Werte ohne Z werden in der Systemzeitzone ausgewertet.

Aufbewahrung

Schlüsseldateien und Konfigurationen bleiben bis zu einer Änderung erhalten. Die Aufbewahrung der Logs hängt von logrotate ab (wöchentlich mit vier Rotationen ist ein verbreiteter Debian-Standard für auth.log) sowie von den Größenlimits des Journals; siehe syslog und auth.log und systemd-Journal. known_hosts wächst nur, sofern ein Benutzer nicht ssh-keygen -R ausführt oder die Datei bearbeitet.

Sicherung

UAC hat eigene Artefakte für authorized_keys*, known_hosts, öffentliche Schlüssel und ~/.ssh/rc und sammelt /etc/ssh zusammen mit /etc. Velociraptor bietet Linux.Ssh.AuthorizedKeys, Linux.Ssh.KnownHosts und Linux.Syslog.SSHLogin.

R=/mnt/evidence
tar -C "$R" -czf ssh.tgz etc/ssh root/.ssh home/*/.ssh 2>/dev/null   # includes private keys: handle as sensitive
journalctl -D "$R"/var/log/journal _COMM=sshd -o short-iso        # add _COMM=sshd-session on newer OpenSSH

Behandeln Sie private Host- und Benutzerschlüssel als sensible Beweismittel: Fingerprints dokumentieren, Zugriff beschränken, niemals wiederverwenden.

Auswertung

# fingerprint every authorized key, then match against "Accepted publickey" lines
for f in /mnt/evidence/root/.ssh/authorized_keys* /mnt/evidence/home/*/.ssh/authorized_keys*; do
  echo "== $f"; ssh-keygen -l -f "$f"; done
grep -hE 'sshd(-session|-auth)?\[[0-9]+\]: (Accepted|Failed|Invalid user)' /mnt/evidence/var/log/auth.log* /mnt/evidence/var/log/secure*
zgrep -h 'Accepted' /mnt/evidence/var/log/auth.log.*.gz
# test a candidate hostname against a hashed known_hosts
ssh-keygen -F 10.0.0.12 -f /mnt/evidence/home/alice/.ssh/known_hosts

Linux Log Parser liest auth.log / secure, syslog, Journal-Dateien, audit.log und wtmp / btmp / lastlog im Browser und führt sie in einer Zeitleiste mit rekonstruierten Login-Sitzungen zusammen; es wird nichts hochgeladen.

Tipps für die Untersuchung

• Ordnen Sie den SHA256:-Fingerprint jeder Accepted publickey-Zeile einer bestimmten Schlüsselzeile zu; so erkennen Sie, welchen Schlüssel ein Angreifer verwendet hat, auch wenn die Kommentare gefälscht sind.
• Suchen Sie in sshd_config und jedem Drop-in nach einem AuthorizedKeysFile, das auf einen ungewöhnlichen Pfad zeigt, oder nach einem AuthorizedKeysCommand: Schlüssel können außerhalb von ~/.ssh liegen.
• Schlüssel mit command= und ~/.ssh/rc führen bei jeder Anmeldung Code aus; eine from=-Option kann Infrastruktur des Angreifers verraten.
• Parser oder SIEM-Regeln, die nur auf sshd[ prüfen, übersehen bei aktuellem OpenSSH Zeilen mit dem Tag sshd-session oder sshd-auth (Velociraptors Linux.Syslog.SSHLogin filtert auf das Programm sshd).
• Gehashte known_hosts lassen sich mit ssh-keygen -F trotzdem gegen Kandidaten-IPs aus Ihrem Fall prüfen.
• Geänderte Host-Keys (neue ctime bei /etc/ssh/ssh_host_*) können auf einen neu aufgesetzten oder geklonten Server hinweisen.
• Korrelieren Sie erfolgreiche Anmeldungen mit wtmp/lastlog und der Shell-History des Benutzers.