L’inoltro remoto SSH usa una connessione SSH per esporre, tramite una porta su un lato della connessione, un servizio raggiungibile dall’altro lato. Durante un’intrusione, un aggressore che ha accesso a un host compromesso può usarlo per instradare connessioni verso servizi interni, creando un tunnel che può essere meno visibile dell’accesso diretto.
Questo è importante perché un tunnel può trasformare un singolo punto d’appoggio in un percorso verso sistemi non esposti a Internet. I difensori possono cercare sessioni SSH inattese, opzioni di inoltro, porte di ascolto insolite e connessioni in uscita che persistono oltre il normale uso amministrativo. Limitare l’accesso SSH e monitorare congiuntamente l’attività di rete e degli host può aiutare a rilevare o prevenire l’inoltro occulto.