Sentinel — instalare și verificări de securitate

Instalare

  1. Autentifică-te în contul MediaLab Works, deschide Licențe și descarcă arhiva aplicației sentinel-x.y.z.tar.gz (disponibilă pe abonament activ, licență lifetime în fereastra de actualizări sau în perioada de probă de 30 de zile).
  2. Dezarhiveaz-o în folderul apps/ (sau custom_apps/) al Nextcloud, ca să obții apps/sentinel/, cu proprietar utilizatorul serverului web: 
    cd /var/www/nextcloud/apps
sudo tar -xzf ~/sentinel-x.y.z.tar.gz
sudo chown -R www-data:www-data sentinel
  3. Activeaz-o: sudo -u www-data php occ app:enable sentinel, sau din pagina Aplicații.
  4. Deschide Setări de administrare → Sentinel → Licență, lipește cheia de licență și salvează. Aplicația contactează serverul de licențe, leagă cheia de această instanță Nextcloud și afișează licența ca Activă.

Licență

Licența se verifică o dată pe zi. Fără internet aplicația funcționează 7 zile de la ultima verificare reușită; după aceea se oprește până poate verifica din nou.

Fără licență validă aplicația este oprită: supraveghetorii și sarcinile de fundal nu rulează și nu se trimit alerte, paginile și API-ul ei răspund cu motivul, iar doar secțiunea Licență funcționează (de acolo pornești perioada de probă, introduci cheia sau reînnoiești). Nimic nu se șterge: amprenta fișierelor, jurnalul și toate setările se păstrează, iar supravegherea repornește imediat ce licența e validă.

Primii pași

  1. Înregistrează amprenta fișierelor, după ce te-ai convins că instalarea este în starea în care trebuie să fie: sudo -u www-data php occ sentinel:baseline take (sau din secțiunea de amprentă a paginii). De atunci se raportează doar schimbările ulterioare.
  2. Asigură-te că alertele ajung: la Să fii anunțat alege de la ce gravitate se folosesc clopoțelul și e-mailul, adaugă o adresă suplimentară (ideal una care ajunge pe telefon), alege ora rezumatului zilnic și apasă Trimite un mesaj de test.
  3. Citește prezentarea generală: în ce stare e serverul, ce se supraveghează și ce nu, și dacă alertele ar ajunge la cineva.

Configurare

Totul este în Setări de administrare → Sentinel (aceeași consolă e și în meniul de sus). Nimic nu este fixat în cod:

Secțiune Ce setezi
Să fii anunțat Clopoțel, e-mail, de la ce gravitate fiecare, adrese suplimentare, rezumatul zilnic și ora lui
Supraveghere Dacă se supraveghează, cât de des, cine e anunțat, de la ce gravitate, cât timp se păstrează jurnalul
Ce înseamnă prea vechi Parole de aplicație vechi, sesiuni inactive, administratori inactivi, linkuri fără expirare
Fișierele Ce părți ale instalării acoperă amprenta, tipuri de fișiere, excluderi, limită de mărime, algoritmul de hash
De unde se autentifică oamenii Dacă se rețin rețelele, avertizare la rețele noi, cât de precisă e o rețea, conturi ignorate
Linkuri publice Supravegherea folosirii linkurilor, de la ce mulțime merită semnalat, cât peste obiceiul linkului, câte parole greșite înseamnă ghicire
Fișiere care se schimbă foarte repede Fereastra de timp, numărul de rescrieri, ștergeri sau redenumiri spre aceeași extensie, și dacă doar alertează sau dezactivează contul
Întrebarea serverului ce anume servește Testare pornită/oprită, căi suplimentare, câte zile de avertizare înainte de expirarea certificatului
Ce program scrie Dacă este așteptat daemonul EDR și unde își lasă rapoartele
Un scaner de întrebat Folosirea ClamAV, socket-ul lui, cât dintr-un fișier se trimite

Daemonul EDR opțional (livrat în apps/sentinel/edr/, rulează ca root, în afara Nextcloud):

cd /var/www/nextcloud/apps/sentinel/edr
sudo sh install.sh
sudoedit /etc/sentinel-edr/config.ini    # cel puțin data_dir
sudo sh install.sh                       # din nou, ca să primească accesul la căile necesare
sudo systemctl enable --now sentinel-edr

Folosire zilnică

  • Rezolvă constatările din prezentarea generală: fiecare spune ce înseamnă, ce se întâmplă dacă e ignorată și are remedierea (expirare, revocare, eliminare) alături.
  • După o actualizare Nextcloud sau a unei aplicații, aprobă fișierele schimbate: occ sentinel:baseline accept --all --note "Nextcloud 34.0.4". Apoi rămân doar schimbările neexplicate.
  • Din terminal: occ sentinel:check (raportul; --inventory, --json, --quiet-when-clean, --probe). Codul de ieșire este nenul când ceva cere atenție, deci o intrare cron săptămânală care trimite e-mail doar la probleme e o singură linie.
  • Oprirea Sentinel (la finalul paginii): pune supravegherea pe pauză, oprește aplicația păstrând tot sau elimin-o cu toate înregistrările ei. occ app:disable sentinel păstrează tot; occ sentinel:remove șterge.

Probleme frecvente

  • Secțiunea de integritate arată multe fișiere schimbate imediat după instalare: nu s-a înregistrat încă amprenta sau o actualizare nu a fost aprobată. Înregistreaz-o sau rulează occ sentinel:baseline accept --all --note "..." după ce ai verificat.
  • Nu se supraveghează nimic deși aplicația e activă: sarcinile de fundal trebuie să ruleze (Cron). După o dezactivare și reactivare, deschide o dată pagina Sentinel: sarcinile sunt puse la loc, iar verificarea de configurare semnalează asta.
  • Alertele pe e-mail nu ajung: verifică setările serverului de e-mail din Nextcloud și folosește Trimite un mesaj de test. Administratorii fără adresă de e-mail primesc doar clopoțelul.
  • După occ app:remove sentinel au rămas tabele în baza de date: elimin-o din aplicație sau cu occ sentinel:remove. Conturile dezactivate de Sentinel rămân dezactivate până le eliberezi (--release-accounts), iar daemonul EDR merge mai departe până îl oprești: systemctl disable --now sentinel-edr.