Sentinel — verificare de securitate pentru Nextcloud

Sentinel (sentinel) este o verificare de securitate continuă pentru Nextcloud, care îți arată ce să repari ca să-ți securizezi serverul. Nu repetă ce Nextcloud face deja bine (limitarea încercărilor, hash-ul parolelor, antetele, autentificarea în doi pași, semnăturile de integritate). Se uită la starea care se adună pe măsură ce serverul este folosit: contul fără autentificare în doi pași, parola de aplicație folosită ultima oară acum câteva luni și care ar funcționa și azi, fișierul din instalare schimbat fără ca cineva să-l fi schimbat, fișierul de configurare pe care serverul web îl dă oricui îl cere. Și anunță o persoană când ceva din toate acestea se schimbă.

Ce face

  • Pagina de stare: cele mai grave primele, fiecare cu motivul și remedierea. Cine se poate autentifica doar cu parolă, parole de aplicație vechi, sesiuni inactive, administratori inactivi, expirarea certificatului, dacă se ține vreun jurnal.
  • Amprentă a fișierelor pe care o aprobi: înregistrează codul instalării (lib, core, apps, 3rdparty, config, themes) la un moment ales de tine; un patch intenționat sau o actualizare se aprobă o dată, cu o notă, și rămân doar schimbările neexplicate.
  • Auto-testare: cere propriului server web, ca vizitator anonim, fișierele care nu trebuie servite niciodată (configurarea, jurnalul, directoarele .git) și raportează orice primește înapoi.
  • Fișiere care se schimbă foarte repede: observă ransomware-ul de pe un laptop sincronizat după fișiere care nu mai sunt ce spun numele lor, note de răscumpărare și redenumiri în masă, nu doar după ritm. Opțional poate dezactiva contul și închide sesiunile lui (oprit implicit).
  • Supraveghetori: un cont devine administrator, autentificarea în doi pași este oprită, apare un cont nou, o adresă încearcă mai multe conturi, un administrator se autentifică dintr-o rețea nouă, aplicații activate sau dezactivate, domenii sau proxy-uri de încredere schimbate, un link deschis de mult mai multă lume decât celor cărora i-a fost trimis.
  • Inventar al tuturor căilor de acces: linkuri publice, sesiuni, parole de aplicație, apartenența la grupuri, cu expirare, revocare sau eliminare lângă fiecare.
  • Notificări: clopoțelul fiecărui administrator, e-mail pentru constatările grave (și la adrese suplimentare), un rezumat zilnic la ora aleasă și un buton Trimite un mesaj de test.
  • Extra opționale: un daemon de supraveghere a proceselor (EDR) care vede ce program scrie în directorul de date și îl suspendă, și scanare ClamAV a fișierelor care arată deja suspect.

Sentinel nu schimbă nimic singur decât dacă îi ceri. Poate fi pus pe pauză, oprit păstrând tot sau eliminat împreună cu toate înregistrările lui.

Cerințe

  • Nextcloud 34, PHP 8.4 sau mai nou. Nimic mai vechi, intenționat.
  • Sarcinile de fundal Nextcloud (Cron) pentru supraveghetori și rezumatul zilnic; setările de e-mail Nextcloud pentru alertele pe e-mail.
  • Daemonul EDR (opțional): Linux 4.20 sau mai nou, Python 3.9 sau mai nou, root și systemd.
  • Opțional: ClamAV (socket clamd).

Confidențialitate

Fără telemetrie, fără serviciu în cloud, fără cont de creat: ce urmărește Sentinel nu pleacă de pe serverul tău. Singura conexiune spre exterior este verificarea licenței la medialab.works (o dată pe zi, criptată), care trimite cheia abonamentului, id-ul instanței Nextcloud, o amprentă hardware (hash), versiunea aplicației și o sumă de control a fișierelor aplicației — nimic despre utilizatori, fișierele lor, autentificări sau evenimente. Autentificările sunt reținute după rețeaua folosită de cont, nu după adresa exactă. Domeniile și proxy-urile de încredere sunt păstrate doar ca amprente. Amprenta fișierelor acoperă codul instalării, niciodată fișierele utilizatorilor. Totul stă în patru tabele: amprenta fișierelor, evenimente, rețele cunoscute și folosirea zilnică a linkurilor.

Întrebări frecvente

Cum verific securitatea serverului meu Nextcloud? Pagina de stare a Sentinel listează, cele mai grave primele, ce slăbește serverul (conturi care intră doar cu parola, parole de aplicație vechi, sesiuni inactive, administratori inactivi, expirarea certificatului, lipsa jurnalizării), fiecare cu motivul și remedierea. Auto-testarea îi cere serverului tău web, ca vizitator anonim, fișiere care nu trebuie servite niciodată, cum ar fi configurarea, jurnalul sau directoarele .git. Vezi ghidul.

Poate detecta ransomware? Observă ransomware pe un dispozitiv sincronizat după fișierele care nu mai sunt ce spune numele lor, notele de răscumpărare și redenumirile în masă, și te anunță. Dezactivarea contului și închiderea sesiunilor lui sunt opționale și oprite implicit.

Licențiere

Aplicația este open source (AGPL-3.0). Ce cumperi este abonamentul de build-uri, actualizări și suport pentru o instanță Nextcloud: versiuni gata de instalat, toate actualizările cât timp abonamentul e activ și ajutor când ceva nu merge. Build-ul verifică cheia abonamentului o dată pe zi; fără abonament activ se oprește până îl reînnoiești (nu se șterge nimic). Lunar, anual sau lifetime (lifetime include un an de actualizări), sau inclus în Pachetul Nextcloud. 30 de zile de probă gratuită.

Codul sursă. Pentru fiecare versiune, codul sursă corespunzător complet (neofuscat, cu fișierele de build: package.json, configurația de build și release.sh) se descarcă din cont (Cont → Licențe, Cod sursă), lângă build, în aceleași condiții ca build-ul. Fiecare arhivă conține și textul integral al AGPL-3.0 (COPYING). Dacă ai nevoie de sursa unei versiuni pe care nu o mai poți descărca, scrie-ne și ți-o trimitem.