从一次安全扫描告警说起：聊聊SSH Banner那点事与自定义的‘安全艺术’
从SSH握手到安全艺术：Banner自定义的攻防哲学
那天凌晨三点，安全团队的告警铃声突然响起——不是高危漏洞，而是一个标记为"信息泄露"的低风险告警。扫描报告显示我们的SSH服务暴露了版本信息，威胁分值为0.0。这个看似无害的发现，却引发了我对网络安全本质的深层思考：为什么一个不直接导致入侵的"信息泄露"会被漏洞扫描器捕获？SSH握手过程中究竟传递了哪些不为人知的秘密？
1. SSH握手背后的信息博弈
当你键入ssh user@host时，看似简单的连接背后正在进行一场精密的协议舞蹈。在TCP三次握手完成后，SSH服务端会立即发送一个Banner字符串，通常包含OpenSSH版本信息。这个看似无害的问候语，实际上成为了攻击者的第一块拼图。
典型SSH握手过程暴露的信息：
$ telnet 192.168.1.100 22 Trying 192.168.1.100... Connected to 192.168.1.100. Escape character is '^]'. SSH-2.0-OpenSSH_8.9p1 Ubuntu-3ubuntu0.1 # ← 这就是泄露的关键为什么版本信息如此敏感？考虑以下场景：
- 已知OpenSSH 7.5前版本存在CVE-2018-15473漏洞
- Ubuntu特定版本可能包含未打补丁的组件
- 商业SSH实现可能使用非标准加密算法
安全提示：即使最新版本也可能通过版本枚举暴露内部网络拓扑信息，这是企业安全策略常忽视的细节
2. 加固SSH服务的多维策略
修改Banner只是SSH安全加固的第一步。真正的防护需要分层防御策略：
2.1 基础加固配置
编辑/etc/ssh/sshd_config时的关键参数对比：
| 配置项 | 默认值 | 推荐值 | 安全收益 |
|---|---|---|---|
| Port | 22 | 高编号端口 | 减少自动化扫描命中率 |
| PermitRootLogin | yes | no | 防止直接root账户暴力破解 |
| MaxAuthTries | 6 | 3 | 限制密码尝试次数 |
| ClientAliveInterval | 0 | 300 | 自动断开闲置会话 |
| Ciphers | 多种算法 | chacha20-poly1305@openssh.com | 禁用弱加密算法 |
2.2 高级防护方案
对于关键系统，建议组合以下措施：
- 证书认证替代密码：生成ED25519密钥对
ssh-keygen -t ed25519 -a 100 -f ~/.ssh/admin_key - 双因素认证：集成Google Authenticator
# PAM配置示例 auth required pam_google_authenticator.so - 端口敲门：隐藏SSH端口直到收到特定TCP序列
# 使用knockd实现 [options] logfile = /var/log/knockd.log [openSSH] sequence = 7000,8000,9000 seq_timeout = 10 command = /sbin/iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
3. Banner设计的攻防艺术
自定义Banner远非简单的字符串替换，而是安全策略的显性表达。我们面临三个设计方向的选择：
3.1 空白Banner
# /etc/ssh/sshd_config Banner none优点：最小信息泄露
缺点：可能触发某些自动化工具的异常告警
3.2 误导信息
echo "SSH-2.0-OpenBSD_1998" > /etc/ssh/fake_banner攻防案例：
- 诱使攻击者使用针对旧版本的攻击载荷
- 可能违反某些行业合规要求
- 需要配合Honeypot系统才能发挥最大价值
3.3 合规声明
cat <<EOF > /etc/ssh/legal_banner NOTICE: Unauthorized access prohibited. All connections are logged and monitored. EOF法律考量：
- 在某些司法管辖区可作为法律证据
- 需要法务团队审核具体措辞
- 可能暴露企业命名规范等元信息
实践发现：金融行业偏好合规声明，而科技公司更倾向空白Banner，这反映了不同的安全哲学
4. 安全本质的再思考
那次凌晨的告警最终引导我们实施了一套新的SSH策略：
- 标准化Banner内容通过Ansible推送到所有节点
# ansible playbook片段 - name: Configure SSH Banner template: src: ssh_banner.j2 dest: /etc/ssh/company_banner notify: restart sshd - 建立SSH配置的黄金镜像
- 实施定期的配置审计
# 审计脚本示例 sshd -T | grep -E 'banner|port|permitroot'
安全团队后来发现，攻击者确实会收集SSH版本信息构建目标画像。但真正阻止入侵的不是隐藏信息，而是我们全面加固的认证体系和网络隔离。这验证了那句安全格言："Security through obscurity is no security at all"。
那次事件后，我们养成了新的习惯——每次SSH连接时，不再只关注能否登入，而是会下意识地思考：这个握手过程，是否暴露了比预期更多的信息？这种安全意识的觉醒，或许比任何具体的技术方案都更有价值。