Proteja o seu servidor. Todos os ataques e alterações num só painel.

O Fail2ban lê os registos dos serviços e bane os endereços que não passam na autenticação. O painel mostra todas as jails num só ecrã: quantos endereços estão bloqueados agora, quantos desde o arranque do serviço e que jail os apanhou. Uma jail que não apanhou nada é tão visível como uma em funcionamento — na maioria das vezes, isso significa que está a ler o ficheiro de registo errado.

IPSUM — uma lista de endereços, atualizada diariamente, detetados em ataques a servidores alheios. O ipset mantém-na na memória do núcleo, por isso verificar centenas de milhares de endereços não sobrecarrega a firewall. O painel mostra o tamanho da lista e a hora da última atualização: é uma proteção antes da primeira tentativa — o endereço é bloqueado antes de chegar ao serviço.

O Lynis executa centenas de verificações de configuração e apresenta um hardening index — uma pontuação de 100. O painel analisa o relatório e mostra avisos e recomendações juntamente com o identificador do teste, para que possa consultar o que cada um significa. 100 de 100 não é o objetivo: parte das recomendações destina-se a cenários que não existem no seu servidor.

O ModSecurity com o conjunto de regras OWASP CRS filtra pedidos HTTP dentro do servidor web — já depois de decifrados, onde o conteúdo do pedido é visível. O painel lê o registo de auditoria: que pedido foi bloqueado, que regra disparou, qual foi a pontuação de anomalia e de onde veio o pedido. Consulta-se isto sobretudo por causa de falsos positivos: a mesma regra a apanhar repetidamente o seu próprio formulário.

O Suricata analisa o tráfego de rede por assinaturas e regista as ocorrências em eve.json. O painel lê este ficheiro diretamente no servidor e mostra os alertas das últimas 24 horas, agrupados por categorias — sem Elasticsearch nem Kibana, que num único VPS pesam mais do que a máquina observada. Uma instalação recente permanece em silêncio enquanto o suricata-update não correr pelo menos uma vez: ainda não tem regras.

O CrowdSec analisa os registos por cenários e toma decisões de bloqueio, apoiando-se também nos endereços comunicados por outros participantes da rede — o atacante chega, muitas vezes, já conhecido. O painel mostra as decisões em vigor com o cenário e o tempo restante e, ao lado, os bouncers registados que as executam. Se a segunda lista estiver vazia, o CrowdSec apenas alerta e não bloqueia nada.

O Falco monitoriza as chamadas de sistema e gera um alerta quando um processo faz algo que não lhe diz respeito: inicia uma shell a partir do servidor web, escreve no diretório de binários do sistema, abre uma ligação de saída inesperada. O painel mostra os alertas com a prioridade, a regra acionada e a linha de comandos do processo. Não é preciso Kubernetes para isto — num servidor comum o Falco funciona da mesma forma.

O antivírus no Linux não protege os seus próprios binários, mas sim o que chega ao servidor a partir do exterior: web shells através de formulários de carregamento, anexos via servidor de correio, cargas maliciosas em diretórios temporários. O painel mostra a hora da última verificação, o que ela encontrou e — o campo mais importante — a idade da base de assinaturas. O ClamAV com assinaturas de uma semana cria a ilusão de proteção e nada mais.

O AIDE cria uma impressão criptográfica do sistema de ficheiros e informa o que mudou desde a última verificação — responde à pergunta que as outras ferramentas evitam: em que tocaram. O painel mostra três listas: ficheiros adicionados, alterados e removidos, juntamente com os atributos divergentes. O relatório matinal mais comum explica-se pelas atualizações noturnas de pacotes — confirme a hora e reconstrua a base.

O daemon de auditoria regista exatamente os eventos que lhe foram pedidos: alterações a /etc/passwd e /etc/shadow, edições ao sshd_config, execução de binários de elevação de privilégios. O painel mostra as regras carregadas neste momento, os caminhos monitorizados e os eventos recentes com o processo e o resultado. Ver as regras é tão importante como ver os eventos: um conjunto vazio é a causa mais frequente para o auditd parecer estar a funcionar sem registar nada de valor.

O UFW dispensa a sintaxe do iptables, mas não ajuda a interpretar um conjunto de regras meses depois. O painel mostra as regras com ação, porta, protocolo e origem, e destaca à frente as políticas por omissão para o tráfego de entrada e de saída — são precisamente essas que costumam ser esquecidas. Um conjunto de regras de aspeto rigoroso não significa nada se a política por omissão continuar em allow.

Quem varre portas não deixa nenhuma tentativa de acesso falhada, por isso o Fail2ban não o vê. O PSAD colmata esta lacuna: lê os registos do firewall sobre tráfego descartado e avalia o que encontra. O painel mostra os endereços sinalizados, o nível de perigo de 1 a 5, o número de pacotes e as portas. Sem uma regra de registo no firewall, o PSAD permanece em silêncio — e é essa a causa habitual de uma página vazia após a instalação.

A renovação automática resolveu a maior parte do problema e criou uma versão mais silenciosa dela: os certificados renovam-se a si próprios — até ao dia em que deixam de o fazer, e o primeiro a saber disso é o visitante. O painel enumera os certificados que o servidor entrega: emissor, data de expiração, dias restantes. Menos de trinta dias num certificado com renovação automática significa que a renovação já há algum tempo falha em silêncio.

O mapa representa os endereços que o seu próprio servidor bloqueou, resolvidos ao nível dos países e dimensionados pelo número de ocorrências. Não é um fluxo de dados de ameaças comprado a terceiros: cada ponto é tráfego que chegou a esta máquina. O mapa torna-se útil ao longo do tempo: uma concentração numa única rede costuma indicar um único agente a percorrer uma lista, ao passo que uma dispersão uniforme é o ruído habitual da internet.

O Logwatch reúne os registos de um dia num único relatório e envia-o por e-mail — onde, ao fim de duas semanas, acaba numa pasta que ninguém consulta. O problema nunca foi a informação, foi a entrega. O painel mantém os relatórios no servidor e mostra-os paginados, com um arquivo dos dias anteriores: um dia diz o que aconteceu, uma semana diz o que mudou.

O Monit vigia processos, ficheiros, sistemas de ficheiros e nós, reiniciando o que encontrar avariado. O painel mostra cada verificação com o estado atual, o objeto monitorizado e o número de intervenções. O contador de reinícios é o campo mais honesto: um serviço reiniciado quarenta vezes não está saudável, está a falhar repetidamente e os reinícios apenas o disfarçam.

Acesso ao painel com chave física, Touch ID ou Face ID em vez de uma segunda palavra-passe. A chave confirma o domínio ao nível do protocolo, por isso uma cópia da página de acesso num endereço parecido não funciona — o phishing não tem nada para intercetar. Pode registar várias chaves, cada uma com o seu nome e a hora da última utilização, e revogar qualquer uma delas individualmente.

O que é acessível de fora nesta máquina é a pergunta de segurança mais útil, e o resultado do ss tem de ser relido à mão sempre que é preciso. O painel mostra os sockets à escuta com porta, protocolo, endereço de ligação e processo e, por baixo, as conexões estabelecidas. O primeiro a ler deve ser o endereço de ligação: um serviço em 127.0.0.1 só é acessível a partir da própria máquina; o mesmo serviço em 0.0.0.0 fica exposto a toda a internet.

O top responde à pergunta sobre o segundo atual, mas o que se costuma perguntar é sobre a noite passada. O coletor acrescenta uma linha à base a cada cinco minutos, e a página desenha a partir dela as últimas 24 horas: load average, CPU e I/O wait em separado, memória e swap, rede, disco, ligações TCP, descritores de ficheiro. Vale a pena ler os gráficos aos pares: um I/O wait elevado com o CPU tranquilo significa que o servidor está à espera do disco, e não faz sentido adicionar núcleos de processador.

As desgraças de disco são duas e diferentes entre si: o dispositivo que começa a falhar e o sistema de ficheiros que enche e arrasta consigo os serviços. O painel cobre ambas — a ocupação das partições, os atributos SMART e a temperatura. A falha é anunciada por três atributos: setores realocados, pendentes e incorrigíveis offline. À parte mostram-se os inodes — esgotam-se antes do espaço livre e explicam as escritas que falham num disco com espaço disponível.

O controlo de acesso obrigatório decide o que um programa pode fazer, independentemente das permissões do utilizador que o iniciou. O AppArmor está presente na maioria dos servidores Ubuntu e Debian e, em muitos deles, quase não limita nada. O painel mostra os perfis carregados com o respetivo modo, os processos sob restrição e — a metade mais interessante — os processos sem perfil algum. Um perfil no modo complain apenas regista o que bloquearia; só o modo enforce restringe.