Comment des tunnels SSH peuvent-ils contourner un pare-feu ?

SSH peut transporter d'autres flux dans sa connexion chiffrée : quiconque a le droit d'ouvrir une connexion SSH sortante peut y faire passer presque n'importe quoi. Une redirection de port rend un service interne joignable de l'extérieur, ou un service externe joignable de l'intérieur, sans qu'aucune règle de pare-feu ne change ; une redirection dynamique transforme la connexion SSH en proxy pour tout le trafic d'un utilisateur. Les attaquants s'en servent pour conserver un accès distant et sortir des données discrètement. Réduisez le risque : n'autorisez le SSH sortant que depuis les hôtes qui en ont besoin et seulement vers des destinations connues, désactivez les redirections sur vos serveurs SSH quand elles sont inutiles, et considérez comme suspecte une longue session SSH d'un poste de travail vers une adresse Internet inconnue. Un capteur réseau ne voit pas l'intérieur du tunnel, mais il voit le tunnel : NetSenX signale les connexions longues ou régulières vers des hôtes extérieurs comme beaconing et les gros transferts comme volume sortant inhabituel, sur toutes les offres.

← Les 40 questions sur Télétravail et services exposésTous les thèmes