Привет, Хабр! Это Антон Грищенко, руководитель L1 SOC, и Назар Корниенко, ведущий аналитик L1 SOC в RED Security. Почти все разработчики хоть раз пользовались протоколом SSH. SSH-туннели — это соединения между локальной машиной и удаленным сервером через функцию перенаправления портов. Они создаются с целью обеспечить безопасный коннект по ненадежным сетям. Это мощный инструмент для работы и передачи данных.

Однако их могут использовать злоумышленники для обхода правил межсетевых экранов и скрытия своей активности. Защититься от таких махинаций можно с помощью детектирования SSH-туннелей, и в этом материале мы пошагово расскажем, как это делается c помощью логирования системных вызовов от демона SSH на Linux-хостах.