이 가이드는 BPF를 사용한 SSH 향상된 세션 녹화와 Teleport 클러스터에서 설정하는 방법을 설명합니다.

Teleport의 기본 SSH 및 Kubernetes 세션 녹화 기능은 터미널에 출력되는 내용을 캡처합니다.

이 방식에는 본질적인 장점이 있습니다. 예를 들어, 입력 내용이 캡처되지 않기 때문에 Teleport 세션 녹화에는 일반적으로 터미널에 입력된 비밀번호가 포함되지 않습니다.

단점은 세션 녹화의 유용성을 떨어뜨리는 여러 기법이 존재한다는 것입니다.

• 난독화. 예를 들어, echo Y3VybCBodHRwOi8vd3d3LmV4YW1wbGUuY29tCg== | base64 --decode | sh 명령어 자체에는 curl http://www.example.com이 포함되어 있지 않지만, 디코딩되면 실제로 실행되는 것은 이 명령입니다.
• 셸 스크립트. 예를 들어, 사용자가 스크립트를 업로드하여 실행하는 경우 스크립트 내에서 실행되는 명령어는 캡처되지 않고 출력 결과만 캡처됩니다.
• 터미널 제어. 터미널은 사용자가 터미널 에코를 비활성화할 수 있는 기능을 포함해 다양한 제어 기능을 지원합니다. 이는 자격 증명을 요청할 때 자주 사용됩니다. 터미널 에코를 비활성화하면 명령어가 캡처되지 않은 채로 실행될 수 있습니다.

또한 세션 녹화는 구조화되지 않은 특성으로 인해 수집하여 모니터링 및 경고를 수행하기가 어렵습니다.

Teleport 향상된 세션 녹화는 고급 보안 기능과 더 뛰어난 로깅 기능을 제공하고, 사용자와 그 활동을 더 잘 연관시킴으로써 이 세 가지 문제를 모두 완화합니다.

사전 요구사항#

• 실행 중인 Teleport 클러스터. Teleport를 시작하려면 무료 체험판에 가입하거나 데모 환경을 구성하세요.

• tctl and tsh clients.

  Installing `tctl` and `tsh` clients

  1. Teleport 클러스터의 버전을 확인합니다. tctl and tsh clients는 Teleport 클러스터 버전보다 최대 한 개의 메이저 버전까지만 뒤처질 수 있습니다. Proxy Service의 /v1/webapi/find로 GET 요청을 보내고 JSON 쿼리 도구를 사용하여 클러스터 버전을 확인합니다. teleport.example.com:443를 Teleport Proxy Service의 웹 주소로 바꿉니다:

     $ TELEPORT_DOMAIN=teleport.example.com:443
     $ TELEPORT_VERSION="$(curl -s https://$TELEPORT_DOMAIN/v1/webapi/find | jq -r '.server_version')"
     

  2. 사용 중인 플랫폼에 대한 지침에 따라 tctl and tsh clients를 설치합니다:

Mac

     `tctl` and `tsh` clients가 포함된, 서명된 Teleport macOS .pkg 설치 프로그램을 다운로드합니다:
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-${TELEPORT_VERSION?}.pkg
     ```

     Finder에서 `pkg` 파일을 더블 클릭하여 설치를 시작합니다.
 
     

       Homebrew를 사용하여 Teleport를 설치하는 것은 지원되지 않습니다. Homebrew의
       Teleport 패키지는 Teleport에서 유지 관리하지 않으므로 신뢰성이나 보안을
       보장할 수 없습니다.
     

Windows - Powershell

     ```code
     $ curl.exe -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-windows-amd64-bin.zip
     # Unzip the archive and move the `tctl` and `tsh` clients to your %PATH%
     # NOTE: Do not place the `tctl` and `tsh` clients in the System32 directory, as this can cause issues when using WinSCP.
     # Use %SystemRoot% (C:\Windows) or %USERPROFILE% (C:\Users\<username>) instead.
     ```
 
   

 
   

Linux

     Linux 설치판의 모든 Teleport 바이너리에는 `tctl` and `tsh` clients가 포함되어 있습니다.  RPM/DEB
     패키지 및 i386/ARM/ARM64용 다운로드를 포함한 더 많은 옵션은
     [설치 페이지](../installation/installation.mdx)를 참조하세요.
 
     ```code
     $ curl -O https://cdn.teleport.dev/teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ tar -xzf teleport-v${TELEPORT_VERSION?}-linux-amd64-bin.tar.gz
     $ cd teleport
     $ sudo ./install
     # Teleport binaries have been copied to /usr/local/bin
     ```
   

 

• Teleport 노드 서비스를 실행하는 데 사용할 호스트가 최소 한 대 필요합니다. 이 호스트는 Linux 커널 5.8 이상을 실행해야 합니다.

  uname 명령어를 사용하여 커널 버전을 확인할 수 있습니다. 출력은 다음과 비슷하게 표시됩니다.

  $ uname -r
  # 5.8.17
  

  Linux 커널 및 배포판에 필요한 버전에 대한 자세한 내용은 아래를 참조하세요.

Linux 배포판 및 지원되는 커널#

Teleport는 amd64 및 arm64 아키텍처에서 BPF를 사용한 향상된 세션 녹화를 지원합니다.

Teleport cluster에 연결할 수 있는지 확인하려면 tsh login으로 로그인한 다음, 현재 자격 증명으로 tctl 명령을 실행할 수 있는지 확인합니다.

예를 들어, teleport.example.com에 cluster 내 Teleport Proxy Service의 도메인 이름을, email@example.com에 Teleport 사용자 이름을 지정하여 다음 명령을 실행합니다:

$ tsh login --proxy=teleport.example.com --user=email@example.com
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

cluster에 연결하여 tctl status 명령을 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 이후의 tctl 명령을 실행할 수 있습니다. 자체 Teleport cluster를 호스팅하는 경우, 전체 권한을 얻기 위해 Teleport Auth Service를 호스팅하는 컴퓨터에서 tctl 명령을 실행할 수도 있습니다.

1단계/2단계. Teleport 노드 설정하기#

노드에 Teleport 설치하기#

Teleport 노드를 실행할 호스트에서, 사용 환경에 맞는 지침에 따라 Teleport를 설치하세요.

Linux 서버에 Teleport Agent를 설치하려면:

권장 설치 방법은 클러스터 설치 스크립트입니다. 이 스크립트는 클러스터에 맞는 올바른 버전, 에디션, 설치 모드를 선택합니다.

1. teleport.example.com:443에 Teleport 클러스터의 호스트명과 포트를 할당하되, 스킴(https://)은 포함하지 마십시오.

2. 클러스터의 설치 스크립트를 실행하십시오:

   $ curl "https://teleport.example.com:443/scripts/install.sh" | sudo bash
   

토큰 생성하기#

tctl 도구를 사용하여 노드가 클러스터에 조인하는 데 사용할 초대 토큰을 생성합니다. 다음 예시에서는 TTL이 5분인 새 토큰을 생성합니다.

# Generate a short-lived invitation token for a new node:
$ tctl nodes add --ttl=5m --roles=node
# The invite token: (=presets.tokens.first=)

# You can also list all generated non-expired tokens:
$ tctl tokens ls
# Token                            Type            Expiry Time
# ------------------------         -----------     ---------------
# (=presets.tokens.first=)         Node            25 Sep 18 00:21 UTC

# ... or revoke an invitation token before it's used:
$ tctl tokens rm (=presets.tokens.first=)

설정 파일 생성하기#

/etc/teleport.yaml에 다음 내용을 사용하여 Teleport 노드를 설정합니다.

# Example config to be saved as etc/teleport.yaml
version: v3
teleport:
  nodename: graviton-node
  # The token you created earlier
  auth_token: (=presets.tokens.first=)

  # Replace with the address of the Teleport Auth Service
  auth_server: 127.0.0.1:3025
  # Or specify the Proxy Service address.
  proxy_server: 127.0.0.1:3080

  data_dir: /var/lib/teleport
proxy_service:
  enabled: false
auth_service:
  enabled: false
ssh_service:
  enabled: true
  enhanced_recording:
    # Enable or disable enhanced auditing for this node. Default value: false.
    enabled: true

    # Optional: command_buffer_size is optional with a default value of 8 pages.
    command_buffer_size: 8

    # Optional: disk_buffer_size is optional with default value of 128 pages.
    disk_buffer_size: 128

    # Optional: network_buffer_size is optional with default value of 8 pages.
    network_buffer_size: 8

    # Optional: Controls where cgroupv2 hierarchy is mounted. Default value:
    # /cgroup2.
    cgroup_path: /cgroup2

    # Optional: Controls the path inside cgroupv2 hierarchy where Teleport
    # cgroups will be placed. Default value: /teleport
    root_path: /teleport

노드에서 Teleport 시작하기#

systemd 서비스를 생성하여 호스트가 부팅될 때 the Teleport SSH Service이 자동으로 시작되도록 구성합니다. 지침은 the Teleport SSH Service을 어떻게 설치했는지에 따라 다릅니다.

Package Manager

the Teleport SSH Service을 실행할 호스트에서 Teleport를 활성화하고 시작합니다:

$ sudo systemctl enable teleport
$ sudo systemctl start teleport

TAR Archive

the Teleport SSH Service을 실행할 호스트에서 Teleport용 systemd 서비스 구성을 생성하고, Teleport 서비스를 활성화한 후 Teleport를 시작합니다:

$ sudo teleport install systemd -o /etc/systemd/system/teleport.service
$ sudo systemctl enable teleport
$ sudo systemctl start teleport

systemctl status teleport로 the Teleport SSH Service의 상태를 확인하고 journalctl -fu teleport로 로그를 볼 수 있습니다.

2단계/2단계. 감사 로그 검사하기#

{
  "argv": [
    "https://wttr.in"
  ],
  "cgroup_id": 2360,
  "cluster_name": "purple",
  "code": "T4000I",
  "ei": 50,
  "event": "session.command",
  "login": "ec2-user",
  "namespace": "default",
  "path": "/bin/curl",
  "pid": 5007,
  "ppid": 4985,
  "program": "curl",
  "return_code": 0,
  "server_hostname": "ip-172-31-34-128.us-east-2.compute.internal",
  "server_id": "531dc1de-c2c9-49bd-a0e3-4f4f3a523f5f",
  "sid": "86aca627-971d-4883-854d-d309ba04c658",
  "time": "2023-07-04T16:42:20.54Z",
  "uid": "9b825e22-744d-4130-94c5-dea49198ae3d",
  "user": "alice@goteleport.com"
}

{
  "action": 0,
  "cgroup_id": 2360,
  "cluster_name": "purple",
  "code": "T4002I",
  "dst_addr": "5.9.243.187",
  "dst_port": 443,
  "ei": 51,
  "event": "session.network",
  "login": "ec2-user",
  "namespace": "default",
  "operation": 0,
  "pid": 5007,
  "program": "curl",
  "server_hostname": "ip-172-31-34-128.us-east-2.compute.internal",
  "server_id": "531dc1de-c2c9-49bd-a0e3-4f4f3a523f5f",
  "sid": "86aca627-971d-4883-854d-d309ba04c658",
  "src_addr": "172.31.34.128",
  "time": "2023-07-04T16:42:20.55Z",
  "uid": "da151350-bf45-4a04-a62b-7a4fc805e744",
  "user": "alice@goteleport.com",
  "version": 4
}

{
  "code": "T2004I",
  "ei": 23,
  "enhanced_recording": true,
  "event": "session.end",
  "interactive": true,
  "namespace": "default",
  "participants": [
    "alice@goteleport.com"
  ],
  "server_id": "585fc225-5cf9-4e9f-8ff6-1b0fd6885b09",
  "sid": "ca82b98d-1d30-11ea-8244-cafde5327a6c",
  "time": "2019-12-12T22:44:46.218Z",
  "uid": "83e67464-a93a-4c7c-8ce6-5a3d8802c3b2",
  "user": "alice@goteleport.com"
}

$ teleport-auth ~:  tree /var/lib/teleport/log
# /var/lib/teleport/log
# ├── 1048a649-8f3f-4431-9529-0c53339b65a5
# │   ├── 2020-01-13.00:00:00.log
# │   └── sessions
# │       └── default
# │           ├── fad07202-35bb-11ea-83aa-125400432324-0.chunks.gz
# │           ├── fad07202-35bb-11ea-83aa-125400432324-0.events.gz
# │           ├── fad07202-35bb-11ea-83aa-125400432324-0.session.command-events.gz
# │           ├── fad07202-35bb-11ea-83aa-125400432324-0.session.network-events.gz
# │           └── fad07202-35bb-11ea-83aa-125400432324.index
# ├── events.log -> /var/lib/teleport/log/1048a649-8f3f-4431-9529-0c53339b65a5/2020-01-13.00:00:00.log
# ├── playbacks
# │   └── sessions
# │       └── default
# └── upload
#    └── sessions
#        └── default

{
  "argv": [
    "https://wttr.in"
  ],
  "cgroup_id": 2360,
  "cluster_name": "purple",
  "code": "T4000I",
  "ei": 50,
  "event": "session.command",
  "login": "ec2-user",
  "namespace": "default",
  "path": "/bin/curl",
  "pid": 5007,
  "ppid": 4985,
  "program": "curl",
  "return_code": 0,
  "server_hostname": "ip-172-31-34-128.us-east-2.compute.internal",
  "server_id": "531dc1de-c2c9-49bd-a0e3-4f4f3a523f5f",
  "sid": "86aca627-971d-4883-854d-d309ba04c658",
  "time": "2023-07-04T16:42:20.54Z",
  "uid": "9b825e22-744d-4130-94c5-dea49198ae3d",
  "user": "alice@goteleport.com"
}

{
  "action": 0,
  "cgroup_id": 2360,
  "cluster_name": "purple",
  "code": "T4002I",
  "dst_addr": "5.9.243.187",
  "dst_port": 443,
  "ei": 51,
  "event": "session.network",
  "login": "ec2-user",
  "namespace": "default",
  "operation": 0,
  "pid": 5007,
  "program": "curl",
  "server_hostname": "ip-172-31-34-128.us-east-2.compute.internal",
  "server_id": "531dc1de-c2c9-49bd-a0e3-4f4f3a523f5f",
  "sid": "86aca627-971d-4883-854d-d309ba04c658",
  "src_addr": "172.31.34.128",
  "time": "2023-07-04T16:42:20.55Z",
  "uid": "da151350-bf45-4a04-a62b-7a4fc805e744",
  "user": "alice@goteleport.com",
  "version": 4
}

{
  "code": "T2004I",
  "ei": 23,
  "enhanced_recording": true,
  "event": "session.end",
  "interactive": true,
  "namespace": "default",
  "participants": [
    "alice@goteleport.com"
  ],
  "server_id": "585fc225-5cf9-4e9f-8ff6-1b0fd6885b09",
  "sid": "ca82b98d-1d30-11ea-8244-cafde5327a6c",
  "time": "2019-12-12T22:44:46.218Z",
  "uid": "83e67464-a93a-4c7c-8ce6-5a3d8802c3b2",
  "user": "alice@goteleport.com"
}

[선택 사항] 이벤트 필터링하기#

향상된 세션 녹화가 특정 사용자에 대해 감사하는 이벤트를 필터링할 수 있습니다.

spec.options.enhanced_recording 필드를 다음과 같이 편집합니다.

version: v8
kind: role
metadata:
  name: enhanced-recording
spec:
  options:
    enhanced_recording:
      - command
      - disk
      - network

이 예시는 Teleport SSH 서비스가 명령어, 디스크, 네트워크 활동과 관련된 이벤트를 캡처하도록 활성화합니다. 사용자의 역할 중 하나라도 특정 옵션을 포함하고 있으면, Teleport SSH 서비스는 해당 사용자에 대해 지정된 종류의 감사 이벤트를 캡처합니다.

역할에서 enhanced_recording 필드가 비어 있으면, 해당 역할의 기본값은 다음과 같습니다.

- command
- network

다음 단계#

• 세션 녹화에 대해 자세히 알아보세요.
• 향상된 세션 녹화의 모든 설정 옵션은 설정 참조에서 확인하세요.