Как расшифровать логи sssd?

Question

[Anton1863]

Рано утром на сервер под root через ssh проник посторонний человек, буквально минут на 7. Авторизация сработала без переборов, как будто знали пароль. Следов не могу пока найти.
Единственно, появились логи в /var/log/sssd ровно в тот промежуток времени когда заходил посторонний, не подскажет кто, что могли сделать через sssd?

Comments

[Дмитрий Шицков]

Заблокируйте доступ руту по ssh во избежании подобной ситуации впредь.
Если за собой не прибрались - у рута мог сохраниться history выполненных команд.

Как вы эксплуатируете sssd? Самый вероятный сценарий для злоумышленника на мой взгляд - завести учетную запись с повышенными привилегиями. Конкретнее расскажут логи (которые вы не приложили). Правда при недостаточном уровне логирования информации может оказаться недостаточно. Следует проверить базу пользователей на предмет появления новых или незнакомых за этот период времени.

[Anton1863]

Дмитрий Шицков, history чистый от чужих команд, есть подозрение на майнинг, нашел файл xmrig.json (время редактирование совпадает со временем захода) с данными кошелька электронного, cpu грузит memcache сейчас.
Процессы, которые создались в этот промежуток времени:
12411 Thu Jun 24 04:19:40 2021 [kworker/1:0-mm_percpu_wq]
12769 Thu Jun 24 04:27:14 2021 [kworker/2:1-events]
12831 Thu Jun 24 04:28:44 2021 /usr/bin/memcache

[Anton1863]

Дмитрий Шицков, эти файлы были изменены в промежуток времени тот:
2021-06-24 04:22:59.3813528350 /var/log/sssd/sssd.log
2021-06-24 04:22:59.3293535840 /var/lib/sss/db/cache_implicit_files.ldb
2021-06-24 04:22:59.3243536560 /var/lib/sss/db/timestamps_implicit_files.ldb
2021-06-24 04:22:59.0903570230 /var/lib/rkhunter/tmp/passwd
2021-06-24 04:22:59.0903570230 /etc/passwd
2021-06-24 04:22:58.7523618880 /etc/gshadow
2021-06-24 04:22:58.7473619600 /var/lib/rkhunter/tmp/group
2021-06-24 04:22:58.7473619600 /etc/group
2021-06-24 04:22:25.5408398540 /var/spool/mail/memcache
2021-06-24 04:22:25.5408398540 /var/log/sssd/sssd_nss.log
2021-06-24 04:22:25.5408398540 /var/log/sssd/sssd_implicit_files.log
2021-06-24 04:22:25.1808450350 /etc/subgid
2021-06-24 04:22:25.1778450780 /etc/subuid
2021-06-24 04:22:25.0000000000 /etc/passwd-
2021-06-24 04:22:25.0000000000 /etc/gshadow-
2021-06-24 04:22:25.0000000000 /etc/group-

[pfg21]

первое: выключить в sshd вход по паролю, сгенерировать и прописать свои ключи в систему.
ибо смысл исправлять систему которая в тырнет светит голой жопой ?? :)

второе: сравнить измененные файлы с бекапом - найти что изменено, далее прыгать от измененного.

[Anton1863]

pfg21, да систему недавно установил, на ней толком еще инфы нет, поэтому заново поставили. Теперь буду только с ключом, на другой порт, только по фиксированным айди в правилах файерволла, ну и с fail2ban. Надеюсь, теперь никто не прорвется.

[pfg21]

Anton1863, альтернативный номер порта сильно не помогает :) у меня за полгода выявили.
теперь стучатся :)
фаил2бан тоже не сильно поможет ибо судя по логам стучатся с разных ип. надо конечно поковырять ради познаний, но влом, да и стучатся не сильно активно :) в ддос систему не отправят.
а 4кб (кажись :) не помню когда уж генерил) ключ подбирать времени нужно поболее оставшего времени жизни земли. так что не парит...

надеюсь все внутренности затронутых файлов из /etc прошерстили ??

[Anton1863]

pfg21, ну еще для ключа сделал пароль на тот случай, если он попадет не туда куда нужно, ну и как говорил, вход только с фиксированных ip, даже если есть ключ и пароль от него, если заходишь с чужого ай-пи, то до свидания.

Answer 1

[Vitaly Karasik]

sssd это один из сервисов который может использоваться в авторизации и аутенфикации.
Не уверен что это поможет понять как зашли. Но загляните и если хотите пришлите нам - это вполне текстовой формат.
Что сделали - можно понять по /etc/passwd и т.п.

Answer 2

[Кот Абсолютный]

sssd - сервис, который позволяет выполнять аутентификацию и авторизацию по различным источникам информации (AD, LDAP, etc). Обычно используется для подключения к домену Windows при невозможности/нежелании ставить самбу.
Не уверен, что в логах по умолчанию есть что-то ценное, но конечно же, если хотите можете выложить обезличенную версию