Informació tècnica sobre les connexions sense agent per als sistemes Linux

Es poden utilitzar connexions sense agent per supervisar sistemes Linux proporcionant a Cyberwatch un compte que permeti connectar-se a l’actiu mitjançant el protocol SSH. El protocol SSH ofereix diversos mètodes per gestionar l’autenticació (contrasenyes, claus SSH) dels comptes que cal autoritzar.

Crear un compte SSH amb autenticació per nom d’usuari / contrasenya

Per exemple, es pot utilitzar l’ordre següent:

sudo useradd --create-home --shell '/bin/bash' --comment 'CyberWatch SAS' 'cyberwatch'
sudo passwd cyberwatch # Attention il faudra saisir ici le mot de passe à attribuer au compte

Explicació: aquesta ordre crea un compte anomenat «cyberwatch» i permet definir la contrasenya d’aquest compte.

Crear un compte SSH amb autenticació per clau pública / clau privada

Generació de la clau SSH

En una màquina Linux dedicada a la generació de claus, genereu una clau RSA de 4096 bits:

ssh-keygen -t rsa -b 4096

Per defecte, aquesta clau es desa als fitxers ~/.ssh/id_rsa (clau privada) i ~/.ssh/id_rsa.pub (clau pública).

Les claus SSH amb frase de pas no són compatibles.

Creació de l’usuari i configuració de la clau

A l’actiu Linux que cal protegir, creeu un usuari ‘cyberwatch’ amb l’ordre:

sudo useradd --create-home --shell '/bin/bash' --comment 'CyberWatch SAS' 'cyberwatch'

Des de la màquina Linux dedicada a la generació de claus, transferiu la clau pública generada al punt 1 a l’actiu Linux que cal protegir. Ho podeu fer amb l’ordre:

cat ~/.ssh/id_rsa.pub | ssh [user]@[host] 'sudo tee -a /home/cyberwatch/.ssh/authorized_keys'

procurant substituir [user] i [host] pels paràmetres de connexió de l’actiu que cal supervisar.

Opcional - concedir els drets sudoers a Cyberwatch

Per a algunes operacions, com el desplegament de pedaços, l’execució de determinats escanejos o la verificació de scripts de conformitat, calen els drets sudoers per executar les ordres associades a l’actiu.

Concedir aquests drets no és estrictament necessari: per defecte, Cyberwatch pot executar els seus escanejos de vulnerabilitats sense drets específics als actius supervisats.

A continuació trobareu una de les maneres de configurar aquests drets als vostres actius perquè Cyberwatch pugui fer les operacions esmentades.

A l’actiu de destinació, mitjançant SSH, utilitzeu l’ordre següent:

sudo visudo

Afegiu les línies següents al final del fitxer:

# cyberwatch privileges
cyberwatch ALL=(ALL) NOPASSWD:ALL

Explicació: aquesta ordre modifica el fitxer /etc/sudoers i configura els drets de l’usuari anomenat «cyberwatch» perquè sigui sudoer.

Cyberwatch executa les seves ordres sense terminal (TTY). Si el fitxer /etc/sudoers de l’actiu conté la línia Defaults requiretty, com en versions antigues de RHEL/CentOS, afegiu també la línia següent:

Defaults:cyberwatch !requiretty

No afegiu aquesta línia als altres sistemes: sudo-rs, el sudo per defecte a partir d’Ubuntu 25.10, no reconeix el paràmetre requiretty, i aleshores visudo rebutja el fitxer.

Detall dels drets sudoers mínims necessaris per desplegar pedaços als sistemes Linux

Els sistemes Linux ofereixen mètodes per limitar els drets sudoers a l’ús de només algunes ordres. Això pot ser útil si voleu permetre que Cyberwatch faci algunes operacions específiques, com el desplegament de pedaços.

Tanmateix, això no és suficient perquè Cyberwatch pugui fer les anàlisis de conformitat, perquè no es pot establir una llista completa de les ordres que es poden executar i que requereixen drets sudoers.

Una manera de restringir els drets sudoers de l’usuari que s’utilitza per supervisar un actiu Linux és limitar-ne els drets sudoers a les ordres següents:

id
apt-get/yum/pacman
shutdown
ss
dmidecode
docker

A continuació s’explica breument per què podríeu autoritzar aquestes ordres:

  • id és la primera ordre que executa Cyberwatch quan es connecta a un actiu; permet determinar si Cyberwatch té drets sudoers a l’actiu o no
  • apt-get/yum/pacman són gestors de paquets que s’utilitzen habitualment als diferents sistemes Linux (llista no exhaustiva); Cyberwatch els utilitza per desplegar pedaços segons el sistema operatiu
  • shutdown s’utilitza si voleu iniciar un reinici dels vostres actius des de Cyberwatch
  • ss s’utilitza per a l’escaneig de ports; si autoritzeu l’execució d’aquesta ordre amb drets sudoers, Cyberwatch pot obtenir els processos que hi ha darrere dels diferents ports
  • dmidecode s’utilitza per obtenir les metadades del BIOS; l’ordre requereix drets sudoers
  • docker serveix per fer l’escaneig de vulnerabilitats de les imatges Docker trobades a l’actiu

Per a un actiu que utilitza apt, un exemple de configuració del fitxer /etc/sudoers podria ser:

# cyberwatch privileges
Cmnd_Alias CBW = /usr/bin/id, /usr/bin/apt-get, /sbin/shutdown, /usr/bin/ss, /usr/sbin/dmidecode, /usr/bin/docker
cyberwatch-agent ALL=(ALL) NOPASSWD:SETENV: CBW

Com més amunt, afegiu Defaults:cyberwatch-agent !requiretty només si el fitxer /etc/sudoers conté Defaults requiretty.