Аутентификации недостаточно; требуется одобрение человека.
RaWarden контролирует каждый привилегированный сеанс SSH с помощью решения об одобрении человека. Оператор проходит аутентификацию, видит одноразовый код в своем терминале, и корневая оболочка не открывается, пока панель не сообщит об этом.
$ ssh root@prod-server-01
КОД ПОДТВЕРЖДЕНИЯ СЕССИИ: 482-917
Утвердить на панели — тайм-аут 60 с
[ожидает одобрения комиссии...]
✓ Одобрено → снижение привилегий → оболочка
В момент успешной аутентификации оболочка открывается. Не имеет значения, был ли ключ украден, утек из конвейера CI/CD или им злоупотребил мошеннический инсайдер. В журнале SSH написано: «root вошел в систему» — кто на самом деле вошел и с какой целью, когда это можно было остановить: все без ответа.
Стандартное ужесточение охраняет дверь, а не момент привилегии.
Входы в систему root записываются, но реальные идентификационные данные оператора стираются.
Не существует механизма, который мог бы остановить кого-то, кто уже вошел в систему — только апостериорный анализ.
Второй фактор на бастионе не защищает момент привилегий на сервере.
Сравнение традиционного управления бастионом/ключами и RaWarden.
Сравнение
Интегрировано через OpenSSH ForceCommand. Аутентификация недостаточна; ни одна оболочка не откроется без положительного решения. Обходной путь по конструкции не предусмотрен.
Утверждающий администратор назначает целевого пользователя и UID во время принятия решения. Полный переход setgroups → setgid → setuid. Журнал аудита показывает реальную личность, а не просто «вошел в систему root».
Безупречно работает в системах STIG/CIS. Правильно устанавливает контексты SELinux, записывает логинид для аудита, повторно устанавливает сокет агента SSH и PTY для целевого пользователя.
Если плоскость управления недоступна, сеанс запрещается, а не разрешается вслепую. Каждое решение записывается в LOG_AUTH — журнал аудита локальный, даже когда панель не работает.
Каждый запрос от двоичного файла Gate содержит метаблок, подписанный HMAC, с меткой времени, одноразовым номером, областью запроса и ролью. Плоскость управления может проверить, действительно ли запрос поступил от двоичного файла привилегированного хоста.
Явный список обхода для бегунов CI/CD и служебных ключей на основе отпечатка ключа CIDR или SSH. Каждое событие обхода всегда регистрируется и никогда не происходит молча.
Просматривайте каждый шаг — вы принимаете решение комиссии.
Аутентификация ключа SSH прошла успешно. В стандартном режиме оболочка откроется, а в RaWarden этого не происходит.
$ ssh root@prod-server-01
Аутентификация прошла успешно.
Панель ожидает уведомления...
Защитите тысячи корневых учетных записей VPS клиентов с помощью централизованного одобрения человека.
Обеспечьте принудительное одобрение на рабочих серверах-бастионах.
Докажите, что каждый привилегированный сеанс в сфере финансов, здравоохранения и правительства был авторизован и связан с ним.
Сделайте root-доступ по SSH проверяемым событием, а не событием по умолчанию.
Аутентификация ключа SSH прошла успешно. В стандартном режиме оболочка откроется, а в RaWarden этого не происходит.
raturka-gate устанавливается при выполнении OpenSSH ForceCommand. Оболочки пока нет.
Код подтверждения выводится на терминал. Начнется 60-секундный обратный отсчет. Сессия заморожена.
RaGent отправляет на панель подписанный веб-перехватчик: OTP, IP-адрес источника, оценка угроз RaDome.
Решение в панели принимает авторизованный администратор. Одобрить → продолжить. Запретить или тайм-аут → соединение закрыто.
Администратор назначает целевого пользователя и UID. RaWarden выполняет переход setgroups → setgid → setuid.
Журнал аудита показывает root → реального пользователя. Каждое событие записывается в LOG_AUTH.
RaWarden работает через агент RaGent. Двоичный файл Gate отправляет подписанный запрос session_gate_create в RaGent через локальный UDS; RaGent отправляет веб-перехватчик на панель и удерживает заблокированного работника на утверждение. Комиссия отправляет свое решение обратно через QUIC.
RaWarden получает оценку угроз для IP-адреса подключающегося источника от демона защиты границ RaDome. Администратор видит решение об утверждении наряду с глобальной аналитикой угроз исходного IP-адреса — сеансы из сетей высокого риска оцениваются в контексте.
RaWarden не является дополнением — это отдельно оплачиваемый уровень безопасности. Цены будут объявлены в ближайшее время.
| RaWarden Core | RaWarden StandardРекомендуется | RaWarden Enterprise | |
|---|---|---|---|
| Ежемесячная цена | Скоро | Скоро | Скоро |
| Session Timeout | 60s sabit | Yapılandırılabilir | Yapılandırılabilir |
| Identity-Aware Privilege Downgrade | |||
| SELinux / auditd Integration | |||
| SSH Agent & PTY Ownership Transfer | |||
| CIDR / Key Fingerprint Bypass Allowlist | |||
| RaDome Threat Score Integration |
Интегрируйте RaTurka в свою производственную среду за считанные минуты. Разверните агент с помощью одной команды и оставьте операционный хаос позади.
Доступен бесплатный план — кредитная карта не требуется.
