Версия 1.0.0: релиз, Makefile (make dist), README и .gitignore для архива.

Made-with: Cursor

.gitignore

@@ -1,14 +1,4 @@
-.DS_Store
+.DS_Store
 CalculatorApp/
-.cursor/
-
-# .env — не коммитить; ssh-monitor.conf с секретами допустим только в закрытом зеркале (не в публичном GitHub)
-.env
-.env.*
 # Артефакты локальной сборки (релизные архивы грузятся в GitHub Releases, в git не коммитим)
 ssh-monitor-*.tar.gz
-
-# Локальный загрузчик Rutube / yt-dlp — живёт в другом репозитории
-rutube-download.py
-.ytdl-archive.txt
-.cursorignore

IPSET-NOTES.txt

@@ -1,24 +0,0 @@
-ssh-monitor (ветка ipset) — что сделать на сервере
-==================================================
-
-1) apt install ipset
-
-2) Скопируйте ssh-monitor в /usr/local/bin/ (или как у вас принято), права +x.
-
-3) Каталог /etc/iptables должен существовать, если нужен save правил:
-   mkdir -p /etc/iptables
-   Скрипт пишет:
-   - /etc/iptables/ipset.rules
-   - /etc/iptables/rules.v4 и rules.v6 (если есть iptables-save)
-
-4) Загрузка ipset после перезагрузки (Debian/Ubuntu, пример):
-   apt install ipset-persistent
-   либо свой systemd unit: ipset restore -f /etc/iptables/ipset.rules
-
-5) UFW / nftables: если фактический фильтр не iptables-nft совместимый с -m set,
-   правило может не примениться — проверяйте «iptables -L INPUT -n» и счётчики.
-
-6) С таймаутом ipset ядро само убирает IP из набора; скрипт лишь чистит файл бан-листа
-   и при расхождении восстанавливает элемент в ipset (verify_ban_list_vs_ipset).
-
-Версия скрипта: см. SSH_MONITOR_VERSION в начале файла.

LICENSE

@@ -1,21 +0,0 @@
-MIT License
-
-Copyright (c) 2026 PTah
-
-Permission is hereby granted, free of charge, to any person obtaining a copy
-of this software and associated documentation files (the "Software"), to deal
-in the Software without restriction, including without limitation the rights
-to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
-copies of the Software, and to permit persons to whom the Software is
-furnished to do so, subject to the following conditions:
-
-The above copyright notice and this permission notice shall be included in all
-copies or substantial portions of the Software.
-
-THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
-IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
-FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
-AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
-LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
-OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
-SOFTWARE.

README.md

@@ -1,25 +1,9 @@
 # ssh-monitor
 
-**Версия:** `2.1.0-SAC`
-
-Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email, бан IP (ipset), ежедневный отчёт, heartbeat.
-
-**Security Alert Center:** модуль **`sac-client.sh`**, режим `UseSAC` (`off` | `exclusive` | `dual` | `fallback`) — [контракт SAC](https://git.kalinamall.ru/PapaTramp/security-alert-center/src/branch/main/docs/agent-integration.md). Обновление с хоста: `update_ssh_monitor.sh` или кнопка в SAC (SSH bootstrap).
-
-## Состав репозитория
-
-| Файл | Назначение |
-|------|------------|
-| **`ssh-monitor`** | Основной цикл: разбор журналов (**journalctl**: sshd, sudo, «тяжёлые» события, **systemd-logind**), цепочка уведомлений (Telegram, SMTP через **python3**, резервный webhook), при **`ENABLE_IP_BAN=1`** — учёт неудачных попыток, бан в **ipset** и согласование с **iptables**/**ip6tables**, ежедневный отчёт, heartbeat, опционально **Prometheus** textfile и JSON health. Режимы: **`--check-config`**, **`--dry-run`**. |
-| **`ssh-monitor-watchdog`** | Отдельный скрипт (обычно по **systemd timer**): проверяет, что сервис монитора активен и файл heartbeat не старше порога; при сбое выполняет **`systemctl restart`** и шлёт уведомление в Telegram или в **`BACKUP_WEBHOOK_URL`**. Читает те же `TELEGRAM_*` / webhook из `/etc/ssh-monitor.conf`. |
-| **`update_ssh_monitor.sh`** | Опциональное автообновление: `git pull` / `clone`, сравнение SHA256 с `/usr/local/bin/ssh-monitor`, синхронизация **`sac-client.sh`** рядом с монитором, перезапуск `ssh-monitor.service`. См. [docs/auto-update.ru.md](docs/auto-update.ru.md). |
-
-**Системные пакеты и зависимости** (что поставить на сервер до запуска): пошагово в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
+Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`systemd-logind`** (локальные/графические сессии и др.) с уведомлениями в **Telegram** и по **электронной почте (SMTP)**, опциональным резервным webhook, авто-блокировкой IP (IPv4 через `iptables`, IPv6 через `ip6tables` при наличии) и ежедневным отчётом.
 
 ## Конфигурация
 
-> **Закрытый инстанс Gitea:** в доверенном закрытом репозитории допустимо хранить **`ssh-monitor.conf`** с боевыми токенами (файл не в `.gitignore`). В публичном [GitHub](https://git.kalinamall.ru/PapaTramp/ssh-monitor) такой файл игнорируется — используйте только `ssh-monitor.conf.example`.
-
 Скрипт читает параметры из `/etc/ssh-monitor.conf` в формате `KEY="value"`.
 
 1. Скопируйте пример:
@@ -40,11 +24,10 @@ Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email,
 - `BACKUP_WEBHOOK_URL` — резервная доставка JSON `{"text":"..."}` (например Slack Incoming Webhook), если **все** каналы из **`NOTIFY_CHAIN`** не смогли доставить сообщение; **не заменяет** обязательность хотя бы одного основного канала (см. шаг 3)
 - `LOG_FILE`, `LAST_HEARTBEAT_FILE`, `LAST_REPORT_FILE`, `LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_SECURITY_EVENTS_FILE`, `LAST_LOGIND_CHECK_FILE`, `BAN_LIST_FILE`
 - `ENABLE_LOGIND_MONITOR`, `LOGIND_NOTIFY_NEW`, `LOGIND_NOTIFY_REMOVED`, `LOGIND_NOTIFY_FAILED`, `LOGIND_SKIP_REMOTE` — см. раздел «Мониторинг systemd-logind» ниже
-- `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_ENABLED` (1/0 — отчёт с агента; 0 = только SAC), `DAILY_REPORT_TZ` (опционально), `NOTIFY_TZ` (опционально), `SERVER_DISPLAY_NAME` (опционально), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
+- `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_TZ` (опционально), `NOTIFY_TZ` (опционально), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
 - `BRUTE_WINDOW_SEC`, `BRUTE_MIN_FAILS`, `BRUTE_NOTIFY_COOLDOWN_SEC`
 - `PROMETHEUS_TEXTFILE_DIR` — каталог для `ssh_monitor.prom` (совместимость с node_exporter textfile collector)
 - `HEALTHCHECK_STATUS_FILE` — путь к JSON-файлу с меткой последней итерации цикла
-- `ENABLE_IP_BAN` — `1` (по умолчанию): мониторинг и автобан через ipset; `0`: только мониторинг и уведомления (без ipset/бана)
 - `BAN_TIME`, `MAX_ATTEMPTS`, `BAN_CHECK_INTERVAL`, `MONITOR_INTERVAL`
 - `WHITELIST_IPS`, `WHITELIST_SUBNETS` (CSV, например `ip1,ip2`)
 - `WATCHDOG_MAX_HEARTBEAT_AGE`, `WATCHDOG_LOG_FILE`, `WATCHDOG_SERVICE_NAME`, `WATCHDOG_NOTIFY_ON_RECOVERY`
@@ -72,11 +55,8 @@ Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email,
 - `LOGIND_NOTIFY_FAILED` — `1` отправлять Telegram по строкам logind, содержащим *failed* (широкий фильтр; при необходимости отключите).
 - `LOGIND_SKIP_REMOTE` — `1` (по умолчанию): для новой сессии logind, если доступен `loginctl`, не отправляется второе Telegram, если сессия уже учтена в **`monitor_ssh`**: при **`Type=ssh`** или если **`Service`** указывает на **sshd** (часто **`Type=tty` + `Service=sshd`**); при пустом ответе `loginctl` делаются короткие повторы. Поставьте `0`, если нужны отдельные алерты logind и для SSH-сессий.
 - `DAILY_REPORT_HOUR` — час (0..23), после наступления которого в **текущих календарных сутках** (в выбранной ниже зоне) отправляется не более одного ежедневного отчёта.
-- `DAILY_REPORT_ENABLED` — `1` (по умолчанию) отправлять `report.daily.ssh` с агента; **`0`** — не слать (суточный отчёт формирует только SAC, см. `SAC_DAILY_REPORT_*`).
 - `DAILY_REPORT_TZ` — необязательная **IANA**-зона (`Europe/Moscow`, `Asia/Yekaterinburg`, …). Если **пусто**, для отчёта используется та же зона, что и у команды `date` у процесса монитора (как правило, совпадает с `timedatectl` / `/etc/localtime` на сервере). Если сервис запускается с `TZ=UTC` в unit-файле, без `DAILY_REPORT_TZ` отчёт ориентируется на **UTC** — тогда задайте явную зону в конфиге.
 - `NOTIFY_TZ` — **IANA**-зона для строк **«🕐 Время»** в Telegram/email (и аналогичных текстах). **Пусто** — используется **`DAILY_REPORT_TZ`**, если она задана, иначе зона процесса. Частая причина «время в теле сообщения UTC, а в заголовке чата локальное»: в **`ssh-monitor.service`** задано **`Environment=TZ=UTC`** — тогда задайте **`NOTIFY_TZ`** (или **`DAILY_REPORT_TZ`**) на вашу локаль, например `Asia/Vladivostok`.
-- `SERVER_DISPLAY_NAME` — подпись в строке **«🖥️ Сервер»** во всех уведомлениях. **Пусто** — `hostname` и при возможности основной IPv4 (`hostname (10.x.x.x)`). Задайте явное имя, если несколько хостов с одинаковым hostname шлют в один чат. Подробнее: [docs/notifications.ru.md](docs/notifications.ru.md).
-- `SERVER_IPV4` — опциональный override для SAC `host.ipv4`. Если пусто, IPv4 определяется автоматически.
 - `SSH_ACCEPT_NOTIFY_DEDUP_SEC` — не чаще одного Telegram по **успешному SSH (`Accepted`)** на одну пару **пользователь + IP** за указанное число **секунд** (по умолчанию **5**). Снимает дубли, когда в journal две строки с **разными портами клиента** за один вход. **`0`** — отключить этот антидубль (останется только дедупликация внутри одного прохода `monitor_ssh` по `user|ip|port`).
 - `DAILY_REPORT_TOP_IPS` — сколько IP показывать в топе неудачных попыток за 24 часа.
 - `BRUTE_WINDOW_SEC` — окно (секунды) для оценки «массового» брутфорса по `journalctl`.
@@ -84,8 +64,7 @@ Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email,
 - `BRUTE_NOTIFY_COOLDOWN_SEC` — пауза между повторными уведомлениями по одному и тому же IP.
 - `PROMETHEUS_TEXTFILE_DIR` — если задан существующий каталог, на каждой итерации пишется `ssh_monitor.prom` с метрикой `ssh_monitor_last_loop_unixtime`.
 - `HEALTHCHECK_STATUS_FILE` — если задан, на каждой итерации обновляется JSON `{ "ts", "hostname", "dry_run" }`.
-- `ENABLE_IP_BAN` — включить автобан IP (`1`) или работать только как монитор с уведомлениями (`0`; **ipset** не требуется).
-- `BAN_TIME` — длительность бана IP в секундах (используется при `ENABLE_IP_BAN=1`).
+- `BAN_TIME` — длительность бана IP в секундах.
 - `MAX_ATTEMPTS` — число неудачных SSH-попыток до автоматического бана.
 - `BAN_CHECK_INTERVAL` — интервал проверки просроченных банов и аудита согласованности бан-листа с firewall (секунды).
 - `MONITOR_INTERVAL` — пауза между итерациями основного цикла мониторинга (секунды).
@@ -117,22 +96,6 @@ Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email,
 
 Команда **`ssh-monitor --check-config`** выводит актуальные значения, в том числе параметры logind.
 
-Ограничения на хостах **без journald** и нюансы **`/var/log/auth.log`**: см. раздел 4 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
-
-### Идентификация сервера в уведомлениях
-
-Во **всех** оповещениях (SSH, sudo, бан IP, logind, heartbeat, ежедневный отчёт и т.д.) после заголовка автоматически добавляется строка **«🖥️ Сервер: …»** — формат `hostname (IPv4)` или только `hostname`, если IPv4 определить не удалось. Логика в `notify_send()`; дублирование в тексте сообщения не требуется.
-
-- Утилиты **`hostname`** и **`ip`** (см. [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md)).
-- Опционально **`SERVER_DISPLAY_NAME`** в конфиге — фиксированная подпись вместо hostname (удобно при нескольких серверах в одном Telegram-чате).
-- Типы сообщений и примеры: [docs/notifications.ru.md](docs/notifications.ru.md).
-
-### Автообновление скрипта
-
-Скрипт **`update_ssh_monitor.sh`** по расписанию (cron или systemd timer) выполняет `git pull` / `clone`, сравнивает SHA256 с `/usr/local/bin/ssh-monitor`, **всегда** подтягивает **`/usr/local/bin/sac-client.sh`** и при изменении любого из файлов перезапускает **`ssh-monitor.service`**. Конфиг **`/etc/ssh-monitor.conf`** не трогается.
-
-Пошаговая настройка: [docs/auto-update.ru.md](docs/auto-update.ru.md).
-
 ## Режимы запуска
 
 Обычный запуск (root):
@@ -161,34 +124,22 @@ bash -n ./ssh-monitor
 
 ## Релизный архив
 
-Версия задаётся в **`SSH_MONITOR_VERSION`** в файле **`ssh-monitor`** и дублируется в **`version.txt`** (сейчас **2.1.0-SAC**). Модуль **`sac-client.sh`** использует ту же версию для SAC `product_version`. Сборка tarball из текущего git-дерева:
+Версия задаётся в скрипте переменной **`SSH_MONITOR_VERSION`** (текущая стабильная — **1.0.0**). Сборка tarball из текущего git-дерева:
 
 ```bash
 make dist
 ```
 
-Появится файл `ssh-monitor-<версия>.tar.gz` (через `git archive`). Готовые архивы для установки без клона репозитория прикладываются к [релизам на GitHub](https://git.kalinamall.ru/PapaTramp/ssh-monitor/releases).
+Появится файл `ssh-monitor-<версия>.tar.gz` (через `git archive`). Готовые архивы для установки без клона репозитория прикладываются к [релизам на GitHub](https://github.com/PTah/ssh-monitor/releases).
 
-## Установка скрипта, конфигурации и systemd
-
-### Автоматическая установка (рекомендуется)
-
-```bash
-sudo ./first_deploy.sh
-# или: sudo ./update_ssh_monitor.sh --deploy
-```
-
-См. [docs/auto-update.ru.md](docs/auto-update.ru.md) — клон из git, копирование в `/usr/local/bin/`, `sac-client.sh`, пример `/etc/ssh-monitor.conf`, unit systemd.
-
-### Ручная установка
+## Автозапуск через systemd
 
 1. Скопируйте скрипт в постоянное место:
  - `sudo install -m 750 ./ssh-monitor /usr/local/bin/ssh-monitor`
-   - `sudo install -m 644 ./sac-client.sh /usr/local/bin/sac-client.sh`
-2. Убедитесь, что конфиг создан (см. раздел **«Конфигурация»** выше):
-   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
+2. Убедитесь, что конфиг есть:
+ - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf` (если еще не создан)
  - `sudo chmod 600 /etc/ssh-monitor.conf`
-3. Создайте unit-файл `/etc/systemd/system/ssh-monitor.service` (или `sudo cp ssh-monitor.service.example ...`):
+3. Создайте unit-файл `/etc/systemd/system/ssh-monitor.service`:
 
 ```ini
 [Unit]
@@ -226,14 +177,40 @@ sudo journalctl -u ssh-monitor -f
 
 Пример для `logrotate` лежит в репозитории: `contrib/logrotate.d/ssh-monitor`. Скопируйте файл в `/etc/logrotate.d/` и при необходимости поправьте пути под ваши `LOG_FILE` / `WATCHDOG_LOG_FILE` и другие файлы состояния в `/var/log/` (в т.ч. `LAST_*`, если решите их ротировать отдельно).
 
+## Статистика без systemd (`journalctl`)
+
+Для корректного подсчёта событий за последние 24 часа по файлам `/var/log/auth.log*` рекомендуется наличие **Python 3** на сервере. При его отсутствии счётчики в ежедневном отчёте для «классического» syslog могут быть занижены (используется безопасный fallback).
+
+**Мониторинг `systemd-logind`** и другие части, использующие **`journalctl`**, на таких системах **не выполняются** или дают неполные данные — ориентируйтесь на окружение с **systemd** и доступным журналом.
+
 ## Watchdog (автоматическое восстановление)
 
-Watchdog проверяет активность `ssh-monitor.service` и актуальность heartbeat (`LAST_HEARTBEAT_FILE`). При сбое выполняет `systemctl restart` и отправляет уведомление (Telegram и при сбое — `BACKUP_WEBHOOK_URL`, если задан).
+Watchdog проверяет:
 
-Пошаговая установка скрипта **ssh-monitor-watchdog** и **timer** в **systemd**: раздел 6 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
+- активен ли `ssh-monitor.service`;
+- не устарел ли heartbeat (`LAST_HEARTBEAT_FILE`).
 
-**Ключевые темы (для поиска):** мониторинг **SSH** и **sshd**, **bash**-скрипт для **Linux**-сервера, уведомления в **Telegram** и по **SMTP** / электронной почте, **systemd-logind**, **sudo**, **journalctl**, **iptables** / **ip6tables**, автоматический **бан IP** и **whitelist**, **systemd** unit, **ежедневный отчёт**, **heartbeat**, **OpenSSH**, безопасность сервера, **Prometheus** textfile, опционально **watchdog** для сервиса.
+Если сервис неактивен или heartbeat старше `WATCHDOG_MAX_HEARTBEAT_AGE`, watchdog выполняет `systemctl restart` и отправляет уведомление (Telegram и при сбое — `BACKUP_WEBHOOK_URL`, если задан).
 
-## Лицензия
+### Установка watchdog
 
-Проект распространяется по лицензии **MIT** — см. файл [LICENSE](LICENSE).
+1. Установите watchdog-скрипт:
+ - `sudo install -m 750 ./ssh-monitor-watchdog /usr/local/bin/ssh-monitor-watchdog`
+2. Создайте unit и timer из примеров:
+ - `sudo cp ./ssh-monitor-watchdog.service.example /etc/systemd/system/ssh-monitor-watchdog.service`
+ - `sudo cp ./ssh-monitor-watchdog.timer.example /etc/systemd/system/ssh-monitor-watchdog.timer`
+3. Примените и запустите timer:
+
+```bash
+sudo systemctl daemon-reload
+sudo systemctl enable ssh-monitor-watchdog.timer
+sudo systemctl start ssh-monitor-watchdog.timer
+```
+
+4. Проверка:
+
+```bash
+sudo systemctl status ssh-monitor-watchdog.timer
+sudo systemctl list-timers | grep ssh-monitor-watchdog
+sudo journalctl -u ssh-monitor-watchdog.service -f
+```

docs/auto-update.ru.md

@@ -1,172 +0,0 @@
-# Автообновление ssh-monitor
-
-Скрипт **`update_ssh_monitor.sh`** в корне репозитория обновляет установленный **`/usr/local/bin/ssh-monitor`** из git-репозитория и перезапускает systemd-сервис. Конфиг **`/etc/ssh-monitor.conf`**, watchdog и таймеры **не изменяются**.
-
-Установка самого монитора и unit-файлов: [README.md](../README.md), зависимости: [install-prerequisites.ru.md](install-prerequisites.ru.md).
-
-## Что делает скрипт
-
-1. Создаёт рабочий каталог **`UPDATE_DIR`** (по умолчанию `/opt/scripts/update`).
-2. Проверяет наличие **`ipset`**; при отсутствии пытается установить через пакетный менеджер (apt, yum, dnf, pacman, zypper). Без ipset скрипт завершается с ошибкой — новая версия монитора с **`ENABLE_IP_BAN=1`** требует ipset.
-3. В **`UPDATE_DIR`** выполняет **`git clone`** или **`git pull origin main`** репозитория.
-4. Ищет файл **`ssh-monitor`** в клоне:
-   - `$UPDATE_DIR/ssh-monitor/src/branch/main/ssh-monitor` (структура GitLab);
-   - `$UPDATE_DIR/ssh-monitor/ssh-monitor` (плоский репозиторий, как в этом проекте).
-5. Сравнивает **SHA256** удалённого файла с **`LOCAL_SCRIPT_PATH`** (по умолчанию `/usr/local/bin/ssh-monitor`).
-6. **Всегда** (независимо от шага 5) синхронизирует **`sac-client.sh`** в каталог рядом с монитором (по умолчанию **`/usr/local/bin/sac-client.sh`**) — нужен для **`UseSAC`** и **`--check-sac`**.
-7. При отличии checksum **`ssh-monitor`** и/или **`sac-client.sh`**:
-   - резервная копия `ssh-monitor.backup.YYYYMMDD_HHMMSS` (только для основного скрипта);
-   - `cp` + `chmod +x` для `ssh-monitor`, `chmod 644` для `sac-client.sh`;
-   - **`systemctl restart ssh-monitor.service`** (если есть systemctl).
-8. Пишет лог в **`LOG_FILE`** (по умолчанию `/var/log/update_script.log`).
-
-```mermaid
-flowchart LR
-  A[cron/timer] --> B[update_ssh_monitor.sh]
-  B --> C[git pull/clone]
-  C --> D[sync sac-client.sh]
-  C --> E{SHA256 ssh-monitor?}
-  D --> F{что-то обновилось?}
-  E -->|да| G[backup + cp ssh-monitor]
-  E -->|нет| F
-  G --> F
-  F -->|да| H[restart ssh-monitor.service]
-  F -->|нет| I[без изменений]
-```
-
-## Настройка перед первым запуском
-
-Отредактируйте переменные в начале **`update_ssh_monitor.sh`**:
-
-| Переменная | По умолчанию | Назначение |
-|------------|--------------|------------|
-| `UPDATE_DIR` | `/opt/scripts/update` | Каталог для git-клона |
-| `REPO_URL` | `https://git.kalinamall.ru/PapaTramp/ssh-monitor.git` | URL репозитория (на закрытом зеркале — URL своего Gitea) |
-| `LOCAL_SCRIPT_PATH` | `/usr/local/bin/ssh-monitor` | Куда копировать бинарник |
-| `LOG_FILE` | `/var/log/update_script.log` | Лог обновлений |
-| `DEBUG` | `0` | `1` — подробный DEBUG в лог |
-
-Требования на сервере:
-
-- **root** (или sudo) для `cp`, `systemctl`, установки ipset;
-- **git** и сетевой доступ к репозиторию (SSH-ключ или HTTPS);
-- ветка в скрипте жёстко **`main`** — при другой ветке измените `git pull` в файле.
-
-## Первичная установка (--deploy)
-
-Один сценарий для нового сервера (клон git, `ssh-monitor`, `sac-client.sh`, пример конфига, systemd unit):
-
-```bash
-cd /path/to/ssh-monitor   # или curl/clone репозитория
-sudo ./first_deploy.sh
-# то же самое:
-sudo ./update_ssh_monitor.sh --deploy
-```
-
-Скрипт выводит в консоль, **куда что скопировано**, и список переменных для **`/etc/ssh-monitor.conf`**. Существующий конфиг **не перезаписывается**.
-
-После установки отредактируйте конфиг и проверьте:
-
-```bash
-sudo nano /etc/ssh-monitor.conf
-sudo /usr/local/bin/ssh-monitor --check-config
-sudo /usr/local/bin/ssh-monitor --check-sac
-sudo systemctl restart ssh-monitor.service
-```
-
-## Установка updater (для последующих обновлений)
-
-```bash
-sudo mkdir -p /opt/scripts
-sudo cp update_ssh_monitor.sh /opt/scripts/update_ssh_monitor.sh
-sudo chmod 750 /opt/scripts/update_ssh_monitor.sh
-```
-
-Проверка вручную:
-
-```bash
-sudo /opt/scripts/update_ssh_monitor.sh
-sudo tail -20 /var/log/update_script.log
-sudo systemctl status ssh-monitor
-```
-
-## Запуск по расписанию
-
-### Cron (пример: каждый день в 04:00)
-
-```bash
-sudo crontab -e
-```
-
-Добавьте:
-
-```
-0 4 * * * /opt/scripts/update_ssh_monitor.sh
-```
-
-### systemd timer (альтернатива)
-
-Создайте `/etc/systemd/system/ssh-monitor-update.service`:
-
-```ini
-[Unit]
-Description=Update ssh-monitor from git
-
-[Service]
-Type=oneshot
-ExecStart=/opt/scripts/update_ssh_monitor.sh
-```
-
-И `/etc/systemd/system/ssh-monitor-update.timer`:
-
-```ini
-[Unit]
-Description=Daily ssh-monitor update
-
-[Timer]
-OnCalendar=*-*-* 04:00:00
-Persistent=true
-
-[Install]
-WantedBy=timers.target
-```
-
-```bash
-sudo systemctl daemon-reload
-sudo systemctl enable --now ssh-monitor-update.timer
-```
-
-## Откат после неудачного обновления
-
-Резервные копии лежат рядом с установленным скриптом:
-
-```bash
-ls -la /usr/local/bin/ssh-monitor.backup.*
-sudo cp /usr/local/bin/ssh-monitor.backup.YYYYMMDD_HHMMSS /usr/local/bin/ssh-monitor
-sudo systemctl restart ssh-monitor.service
-```
-
-## Лог и диагностика «мгновенного» завершения
-
-Все шаги пишутся в **`/var/log/update_script.log`**. При обычном запуске те же строки дублируются в stdout (кроме **`--quiet`**).
-
-В конце каждого прогона — блок **«Итог обновления»**: статус `ssh-monitor` / `sac-client` / git / перезапуск и **причина**, если файлы не копировались (checksum совпал, git pull failed, скрипт не найден в клоне).
-
-```bash
-sudo /opt/scripts/update_ssh_monitor.sh
-sudo tail -40 /var/log/update_script.log
-```
-
-**Важно:** после `git pull` в клоне скрипт **сам обновляет** `/opt/scripts/update_ssh_monitor.sh` из репозитория и один раз перезапускает себя (если вызывали именно этот путь). Если в логе старые строки вроде `Checksums match` без блока «Итог обновления» — на сервере ещё старая копия updater; один раз:
-
-```bash
-sudo cp /opt/scripts/update/ssh-monitor/update_ssh_monitor.sh /opt/scripts/update_ssh_monitor.sh
-sudo chmod 750 /opt/scripts/update_ssh_monitor.sh
-sudo /opt/scripts/update_ssh_monitor.sh
-```
-
-## Ограничения
-
-- Обновляется **только** файл **`ssh-monitor`**, не конфиг и не watchdog.
-- При недоступном git **`git pull`** пишет предупреждение и продолжает с локальной копией.
-- На **закрытом зеркале** в `update_ssh_monitor.sh` задайте **`REPO_URL`** своего Gitea; в публичном GitHub по умолчанию — `git.kalinamall.ru/PapaTramp/ssh-monitor`.

docs/install-prerequisites.ru.md

@@ -1,152 +0,0 @@
-# Системные зависимости и установка окружения
-
-Этот документ описывает, **какой софт** на сервере нужен для работы **ssh-monitor**, и **как его поставить** типовыми пакетами. Саму установку скрипта, конфигов и **systemd** смотрите в корневом [README.md](../README.md).
-
-## 1. Что должно быть на хосте
-
-### Обязательно
-
-| Назначение | Что используется | Примечание |
-|------------|------------------|------------|
-| Интерпретатор | **Bash** (версия с `declare -A`) | Обычно уже есть (`/bin/bash`). |
-| Запуск брандмауэра | **iptables**; для IPv6 — **ip6tables** (если баните IPv6) | Скрипт добавляет правила `DROP` для заблокированных IP. Нужен **root** (скрипт не стартует без root, кроме `--dry-run` / проверок). |
-| Telegram | **curl** | Запросы к `api.telegram.org`. |
-| Почта (канал `email`) | **Python 3** | SMTP через стандартную библиотеку. |
-| Резервный webhook | **Python 3** + **curl** | Сборка JSON и `POST`. |
-
-Без **хотя бы одного** настроенного канала (`telegram` или `email`) скрипт завершится с ошибкой — это не зависимости ОС, а настройка в `/etc/ssh-monitor.conf`.
-
-### Настоятельно рекомендуется (полный функционал)
-
-| Назначение | Что используется |
-|------------|------------------|
-| Журнал SSH/sudo/брутфорс, logind | **systemd** + **`journalctl`** |
-| Дедупликация уведомлений logind для SSH | **`loginctl`** (часть **systemd**) |
-| Удобный просмотр логов сервиса | **`journalctl`** |
-
-На минималистичных системах без **journald** часть функций не работает или упрощается; отчёт за сутки по SSH может опираться на **`/var/log/auth.log`** (см. ниже).
-
-### Утилиты из «базовой» системы
-
-Обычно уже установлены: `grep`, `sed`, `awk`, `sort`, `date`, `who`, `mktemp`, `sudo` (если запускаете не напрямую от root), `wc`, `hostname`, `ip` (для подписи сервера в уведомлениях). Для дедупликации sudo в журнале желательны **`sha256sum`** или **`cksum`**.
-
----
-
-## 2. Пошаговая установка пакетов (Debian / Ubuntu)
-
-Выполняйте от пользователя с `sudo`.
-
-**Шаг 1.** Обновить индексы пакетов:
-
-```bash
-sudo apt update
-```
-
-**Шаг 2.** Минимум для Telegram и бана по firewall:
-
-```bash
-sudo apt install -y iptables curl
-```
-
-При необходимости IPv6 (если на сервере используется `ip6tables`):
-
-```bash
-sudo apt install -y ip6tables
-```
-
-(На многих образах **ip6tables** уже входит в метапакет с iptables.)
-
-**Шаг 3.** Если включите доставку почты (`MAIL_*` в конфиге) или **BACKUP_WEBHOOK_URL** (через Python):
-
-```bash
-sudo apt install -y python3
-```
-
-**Шаг 4.** Типовой сервер с **systemd** уже содержит `journalctl` и `loginctl`. Если ставите минимальный контейнер без них — для полного мониторинга нужен стек с **systemd** и **journald** (или см. раздел про ограничения без journald).
-
-**Шаг 5.** (Опционально) Сохранение правил **iptables** после перезагрузки — отдельно от ssh-monitor, например:
-
-```bash
-sudo apt install -y iptables-persistent netfilter-persistent
-```
-
-Скрипт при наличии каталога **`/etc/iptables`** может записывать туда `rules.v4` / `rules.v6` (см. код `save_iptables_rules`). Имеет смысл создать каталог и настроить автозагрузку правил по документации вашего дистрибутива.
-
----
-
-## 3. Другие дистрибутивы
-
-Принцип тот же: пакеты **bash**, **iptables** (+ **ip6tables**), **curl**, **python3**; для полного функционала — **systemd** с **journald**.
-
-Примеры:
-
-- **RHEL / Alma / Rocky:** `dnf install iptables curl python3 systemd` (имена метапакетов могут отличаться).
-- **Alpine:** `apk add bash iptables ip6tables curl python3` — отдельно проверьте наличие **systemd** / **journalctl** (на Alpine часто нет; мониторинг по journal будет недоступен).
-
----
-
-## 4. Системы без `journalctl` (классический syslog)
-
-- События **SSH** могут читаться из **`/var/log/auth.log`** (если скрипт не находит `journalctl`).
-- **Ежедневная статистика** по этим файлам для отчёта **точнее с Python 3** (разбор логов в скрипте). Без Python отчёт может использовать упрощённый fallback.
-- Блоки, завязанные на **`journalctl`** (**sudo** по журналу, **systemd-logind**, часть **security/brute**), на таком хосте **не дадут полного результата**.
-
----
-
-## 5. Конфликты с UFW / другими обёртками firewall
-
-Скрипт вставляет правила **iptables** самостоятельно. Если используете **UFW**, **firewalld** или только **nftables** без совместимости с iptables-nft, возможны конфликты или неожиданный порядок правил. После внедрения проверьте:
-
-```bash
-sudo iptables -L INPUT -n -v --line-numbers
-```
-
-При необходимости согласуйте порядок с вашей схемой управления firewall.
-
----
-
-## 6. Опционально: watchdog
-
-Скрипт **`ssh-monitor-watchdog`** проверяет сервис `ssh-monitor.service` и актуальность heartbeat; при сбое выполняет `systemctl restart`.
-
-**Установка:**
-
-1. Скопируйте скрипт:  
-   `sudo install -m 750 ./ssh-monitor-watchdog /usr/local/bin/ssh-monitor-watchdog`
-2. Установите unit и timer:  
-   `sudo cp ./ssh-monitor-watchdog.service.example /etc/systemd/system/ssh-monitor-watchdog.service`  
-   `sudo cp ./ssh-monitor-watchdog.timer.example /etc/systemd/system/ssh-monitor-watchdog.timer`
-3. Включите timer:
-
-```bash
-sudo systemctl daemon-reload
-sudo systemctl enable ssh-monitor-watchdog.timer
-sudo systemctl start ssh-monitor-watchdog.timer
-```
-
-4. Проверка:
-
-```bash
-sudo systemctl status ssh-monitor-watchdog.timer
-sudo systemctl list-timers | grep ssh-monitor-watchdog
-sudo journalctl -u ssh-monitor-watchdog.service -f
-```
-
-Параметры watchdog задаются в **`/etc/ssh-monitor.conf`** (переменные `WATCHDOG_*` в примере конфига).
-
----
-
-## 7. Краткий чек-лист перед первым запуском
-
-- [ ] Установлены **iptables** (и при необходимости **ip6tables**).
-- [ ] Для Telegram установлен **curl**; для почты / webhook — **python3**.
-- [ ] Настроен **`/etc/ssh-monitor.conf`** (минимум один канал уведомлений).
-- [ ] Понятен порядок правил firewall на хосте (UFW и т.д.).
-- [ ] (По желанию) настроено сохранение правил после перезагрузки.
-
-Далее: установка самого **`ssh-monitor`**, unit **systemd** и проверка — в [README.md](../README.md).
-
-Дополнительно:
-
-- [notifications.ru.md](notifications.ru.md) — подпись **«🖥️ Сервер»** в уведомлениях, типы алертов, часовые пояса.
-- [auto-update.ru.md](auto-update.ru.md) — автообновление скрипта через **`update_ssh_monitor.sh`**.

docs/notifications.ru.md

@@ -1,98 +0,0 @@
-# Уведомления ssh-monitor
-
-Документ описывает, **какие сообщения** отправляет монитор, **какие поля** в них есть и как настроить **подпись сервера** и **часовой пояс**.
-
-См. также: [README.md](../README.md), пример конфига [ssh-monitor.conf.example](../ssh-monitor.conf.example).
-
-## Подпись сервера (🖥️ Сервер)
-
-Начиная с версии **1.1.3-server-label**, каждое уведомление, проходящее через **`notify_send()`**, получает строку **«🖥️ Сервер: …»** сразу **после первой строки** (заголовка алерта).
-
-Формат значения:
-
-| Условие | Пример |
-|---------|--------|
-| `SERVER_DISPLAY_NAME` пусто, IPv4 найден | `web01 (10.1.20.5)` |
-| `SERVER_DISPLAY_NAME` пусто, IPv4 нет | `web01` |
-| Задан `SERVER_DISPLAY_NAME="prod-db-01"` | `prod-db-01 (10.1.20.5)` |
-
-IPv4 определяется через `ip -4 route get` (исходящий адрес) или `hostname -I`. Нужны утилиты **`hostname`** и **`ip`** — см. [install-prerequisites.ru.md](install-prerequisites.ru.md).
-
-Если в тексте сообщения уже есть подстрока **`🖥️ Сервер:`**, вторая строка **не добавляется** (защита от дубля при ручной вставке).
-
-### Пример: успешный SSH
-
-```
-✅ УСПЕШНОЕ SSH ПОДКЛЮЧЕНИЕ
-🖥️ Сервер: myhost (10.1.20.5)
-👤 Пользователь: alice
-🌐 IP адрес: 10.1.20.1
-🕐 Время: 25.05.2026 09:08:22
-```
-
-### Пример: sudo
-
-```
-⚠️ ИСПОЛЬЗОВАНИЕ SUDO
-🖥️ Сервер: myhost (10.1.20.5)
-👤 Пользователь: alice
-🔑 От имени USER: root
-💻 Команда: /bin/bash
-📁 Директория: /home/alice
-🕐 Время: 24.05.2026 16:54:49
-```
-
-## Настройка в `/etc/ssh-monitor.conf`
-
-```bash
-# Пусто = hostname (+ IPv4 при возможности)
-SERVER_DISPLAY_NAME=""
-
-# Или фиксированное имя для этого хоста в общем чате:
-# SERVER_DISPLAY_NAME="dc1-app-03"
-```
-
-Проверка эффективной подписи:
-
-```bash
-sudo ssh-monitor --check-config
-```
-
-В выводе будет строка `SERVER_DISPLAY_NAME=... (эффективно: ...)`.
-
-## Типы уведомлений
-
-| Событие | Заголовок (первая строка) | Доп. поля |
-|---------|----------------------------|-----------|
-| Успешный SSH | ✅ УСПЕШНОЕ SSH ПОДКЛЮЧЕНИЕ | пользователь, IP клиента, время |
-| SSH под root | 🔑 SSH ВХОД ПОД ROOT | IP, время |
-| Неудачная попытка SSH | ❌ НЕУДАЧНАЯ ПОПЫТКА SSH | пользователь, IP, счётчик попыток, время |
-| Sudo | ⚠️ ИСПОЛЬЗОВАНИЕ SUDO | пользователь, USER=, команда, PWD, время |
-| Бан IP | 🚫 IP ЗАБЛОКИРОВАН АВТОМАТИЧЕСКИ | IP, попытки, длительность, время |
-| Порог без бана | ⚠️ ЛИМИТ НЕУДАЧНЫХ SSH (автобан отключён…) | IP, попытки, время |
-| Брутфорс | 🧨 ВОЗМОЖНЫЙ МАССОВЫЙ БРУТФОРС SSH | IP, счётчик за окно, время |
-| Host key / MITM | 🔐 ВНИМАНИЕ: изменение SSH host key… | фрагмент журнала, время |
-| logind: новая сессия | 🖥️ НОВАЯ СЕССИЯ (systemd-logind) | пользователь, ID сессии, время |
-| logind: сбой | ❌ СБОЙ (systemd-logind) | строка журнала, время |
-| Ежедневный отчёт | 📊 ЕЖЕДНЕВНЫЙ ОТЧЕТ SSH МОНИТОРИНГА | статистика 24 ч, баны, топ IP, сессии |
-| Heartbeat | ❤️ Heartbeat - скрипт мониторинга работает | время |
-| Старт / стоп | ✅ СКРИПТ МОНИТОРИНГА ЗАПУЩЕН / ⚠️ ОСТАНОВЛЕН | версия, каналы, время |
-
-Во всех перечисленных случаях **🖥️ Сервер** добавляется автоматически (кроме сообщений, где вы сами вставили эту строку).
-
-## Время в сообщениях (🕐)
-
-Строки **«🕐 Время»** формируются функцией **`notification_date()`**:
-
-1. Если задан **`NOTIFY_TZ`** (IANA, например `Europe/Moscow`) — используется он.
-2. Иначе, если задан **`DAILY_REPORT_TZ`** — он.
-3. Иначе — зона процесса (`date` у systemd-сервиса; часто UTC, если в unit указано `Environment=TZ=UTC`).
-
-Ежедневный отчёт по календарю и часу **`DAILY_REPORT_HOUR`** использует **`DAILY_REPORT_TZ`** (или зону процесса) — см. README.
-
-## Каналы доставки
-
-- **`NOTIFY_CHAIN`**: `telegram`, `email` — при каждом событии попытка **во все** каналы списка.
-- **`BACKUP_WEBHOOK_URL`**: только если **все** каналы цепочки не доставили сообщение.
-
-Режим **`--dry-run`**: уведомления не отправляются; в stderr печатается текст **уже с подписью сервера**.

first_deploy.sh

@@ -1,5 +0,0 @@
-#!/bin/bash
-# Первичная установка ssh-monitor — обёртка над update_ssh_monitor.sh --deploy
-set -euo pipefail
-SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
-exec "$SCRIPT_DIR/update_ssh_monitor.sh" --deploy "$@"

readme_eng.md

@@ -1,220 +0,0 @@
-# ssh-monitor
-
-Bash script that monitors **SSH**, **SUDO**, and **`systemd-logind`** events (local/graphical sessions, etc.), sends alerts via **Telegram** and **SMTP email**, optional backup webhook, automatic IP blocking (**ipset** + **iptables** / **ip6tables**: `hash:ip` sets with timeout, single `-m set` rule; details in **`IPSET-NOTES.txt`**), and a daily report.
-
-## Repository contents
-
-| File | Purpose |
-|------|---------|
-| **`ssh-monitor`** | Main loop: parses logs (**journalctl**: sshd, sudo, security events, **systemd-logind**), notification chain (Telegram, SMTP via **python3**, backup webhook); with **`ENABLE_IP_BAN=1`** tracks failed attempts, bans via **ipset**, reconciles with **iptables**/**ip6tables**, daily report, heartbeat, optional **Prometheus** textfile and JSON health. Modes: **`--check-config`**, **`--dry-run`**. |
-| **`ssh-monitor-watchdog`** | Standalone script (usually via **systemd timer**): checks that the monitor service is active and the heartbeat file is fresh; on failure runs **`systemctl restart`** and sends Telegram or **`BACKUP_WEBHOOK_URL`**. Reads the same `TELEGRAM_*` / webhook from `/etc/ssh-monitor.conf`. |
-| **`update_ssh_monitor.sh`** | Optional auto-update: `git pull` / `clone`, SHA256 compare with `/usr/local/bin/ssh-monitor`, restart `ssh-monitor.service`. See [docs/auto-update.ru.md](docs/auto-update.ru.md) (Russian). |
-
-**System packages and dependencies** (install on the server before running): step-by-step in [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md) (Russian).
-
-## Configuration
-
-The script reads `/etc/ssh-monitor.conf` in `KEY="value"` format.
-
-1. Copy the example:
-   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
-2. Restrict permissions:
-   - `sudo chmod 600 /etc/ssh-monitor.conf`
-3. Fill in at least **one notification channel** (otherwise the script exits immediately; see **«Mandatory requirement»** below and **«Notification channels and empty NOTIFY_CHAIN»**):
-   - for **Telegram**: `TELEGRAM_BOT_TOKEN` and `TELEGRAM_CHAT_ID`;
-   - or configure **SMTP** using the variables below with `NOTIFY_ORDER=""` (auto-selected channels).
-
-**Mandatory requirement:** after loading the config, **`NOTIFY_CHAIN`** must contain **at least one** channel (`telegram` or `email`). If there are **none** (empty `NOTIFY_ORDER` and neither Telegram nor SMTP qualify as “configured”, or `NOTIFY_ORDER` contains only unknown names), the script **does not** enter the main loop and exits with code **1**, stderr: **`Не настроен ни один канал отправки оповещений`**. The same applies to **`--check-config`** and **`--dry-run`**. The backup **`BACKUP_WEBHOOK_URL`** is **not** part of this check — it is used only if **every** channel in **`NOTIFY_CHAIN`** fails to deliver.
-
-Supported parameters:
-
-- `TELEGRAM_BOT_TOKEN`, `TELEGRAM_CHAT_ID`
-- `NOTIFY_ORDER` — channel list (`telegram`, `email`, or **tg**, **mail**); for each alert the script **tries all listed** channels in order (not “first success stops”). Empty = only configured channels are chained (default order in `ssh-monitor.conf.example`). If the resulting chain is empty — the script does not start (see **«Notification channels and empty NOTIFY_CHAIN»**).
-- `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — mail via **python3** (see channel table below)
-- `BACKUP_WEBHOOK_URL` — fallback JSON `{"text":"..."}` (e.g. Slack Incoming Webhook) if **all** **`NOTIFY_CHAIN`** channels fail; **does not** replace the need for at least one primary channel (see step 3)
-- `LOG_FILE`, `LAST_HEARTBEAT_FILE`, `LAST_REPORT_FILE`, `LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_SECURITY_EVENTS_FILE`, `LAST_LOGIND_CHECK_FILE`, `BAN_LIST_FILE`
-- `ENABLE_LOGIND_MONITOR`, `LOGIND_NOTIFY_NEW`, `LOGIND_NOTIFY_REMOVED`, `LOGIND_NOTIFY_FAILED`, `LOGIND_SKIP_REMOTE` — see **«systemd-logind monitoring»** below
-- `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_TZ` (optional), `NOTIFY_TZ` (optional), `SERVER_DISPLAY_NAME` (optional), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
-- `BRUTE_WINDOW_SEC`, `BRUTE_MIN_FAILS`, `BRUTE_NOTIFY_COOLDOWN_SEC`
-- `PROMETHEUS_TEXTFILE_DIR` — directory for `ssh_monitor.prom` (node_exporter textfile collector)
-- `HEALTHCHECK_STATUS_FILE` — path to JSON with last loop iteration marker
-- `ENABLE_IP_BAN` — `1` (default): monitoring and auto-ban via ipset; `0`: monitoring and alerts only (no ipset/ban)
-- `BAN_TIME`, `MAX_ATTEMPTS`, `BAN_CHECK_INTERVAL`, `MONITOR_INTERVAL`
-- `WHITELIST_IPS`, `WHITELIST_SUBNETS` (CSV, e.g. `ip1,ip2`)
-- `WATCHDOG_MAX_HEARTBEAT_AGE`, `WATCHDOG_LOG_FILE`, `WATCHDOG_SERVICE_NAME`, `WATCHDOG_NOTIFY_ON_RECOVERY`
-
-If `/etc/ssh-monitor.conf` is missing or some values are empty, script defaults apply.
-
-### `/etc/ssh-monitor.conf` variables
-
-- `TELEGRAM_BOT_TOKEN` — Telegram bot token for alerts.
-- `TELEGRAM_CHAT_ID` — chat/user ID for notifications.
-- `NOTIFY_ORDER` — CSV of channel names (`telegram`, `email`, `tg`, `mail`). For **each** alert, delivery is attempted **to all** listed channels (if one fails, others still run; failures go to **`LOG_FILE`**). Empty string: build chain from configured channels only (default order telegram → email; “configured” criteria — **table** in **«Notification channels and empty NOTIFY_CHAIN»**). If no channels remain, the script exits: **«Не настроен ни один канал отправки оповещений»** (including `--check-config` and `--dry-run`).
-- `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — SMTP for `email` channel (**python3**; see “configured” table).
-- `BACKUP_WEBHOOK_URL` — backup POST URL (JSON `{"text":"..."}`); fallback only, **not** counted as a configured channel (see step 3).
-- `LOG_FILE` — main script log path.
-- `LAST_HEARTBEAT_FILE` — file with last heartbeat timestamp.
-- `LAST_REPORT_FILE` — date of last daily report `YYYY-MM-DD` (legacy Unix time on first run is interpreted automatically).
-- `LAST_SSH_CHECK_FILE` — last SSH events check timestamp.
-- `LAST_SUDO_CHECK_FILE` — last sudo events check timestamp.
-- `LAST_SECURITY_EVENTS_FILE` — last “heavy” security journal check.
-- `LAST_LOGIND_CHECK_FILE` — last `systemd-logind` journal processing (Unix time); ~30 minutes of history on first run.
-- `BAN_LIST_FILE` — ban state file (IP, ban end time, metadata).
-- `ENABLE_LOGIND_MONITOR` — `1` enables `journalctl -u systemd-logind`, `0` disables this block.
-- `LOGIND_NOTIFY_NEW` — `1` send Telegram on new logind session (*New session … of user …*).
-- `LOGIND_NOTIFY_REMOVED` — `1` send Telegram on session end (*Removed session …*); default `0` (log only to avoid spam).
-- `LOGIND_NOTIFY_FAILED` — `1` send Telegram on logind lines containing *failed* (broad filter; disable if needed).
-- `LOGIND_SKIP_REMOTE` — `1` (default): for a new logind session, if `loginctl` is available, skip duplicate Telegram when already covered by **`monitor_ssh`**: **`Type=ssh`** or **`Service`** points to **sshd** (often **`Type=tty` + `Service=sshd`**); short retries if `loginctl` returns empty. Set `0` for separate logind alerts for SSH sessions too.
-- `DAILY_REPORT_HOUR` — hour (0..23) after which at most one daily report is sent in the **current calendar day** (in the zone below).
-- `DAILY_REPORT_TZ` — optional **IANA** zone (`Europe/Moscow`, …). If **empty**, report uses the monitor process zone (usually matches `timedatectl` / `/etc/localtime`). If the unit sets `TZ=UTC`, without `DAILY_REPORT_TZ` the report uses **UTC** — set an explicit zone in config.
-- `NOTIFY_TZ` — **IANA** zone for **«🕐 Время»** lines in Telegram/email. **Empty** — use **`DAILY_REPORT_TZ`** if set, else process zone. Common mismatch: **`ssh-monitor.service`** has **`Environment=TZ=UTC`** — set **`NOTIFY_TZ`** or **`DAILY_REPORT_TZ`** to your locale, e.g. `Asia/Vladivostok`.
-- `SERVER_DISPLAY_NAME` — label in **«🖥️ Server»** line on every alert. **Empty** — `hostname` plus primary IPv4 when available. Set a fixed name when many hosts share one Telegram chat. Details: [docs/notifications.ru.md](docs/notifications.ru.md) (Russian).
-- `SERVER_IPV4` — optional override for SAC `host.ipv4`. If empty, the script auto-detects host IPv4.
-- `SSH_ACCEPT_NOTIFY_DEDUP_SEC` — at most one Telegram per successful SSH (**Accepted**) per **user + IP** pair within **N** seconds (default **5**). Removes duplicates when journal has two lines with **different client ports** for one login. **`0`** disables this cross-iteration dedup (in-pass dedup by `user|ip|port` remains).
-- `DAILY_REPORT_TOP_IPS` — how many IPs in the failed-attempts top for 24 hours.
-- `BRUTE_WINDOW_SEC` — window (seconds) for “mass” brute-force evaluation via `journalctl`.
-- `BRUTE_MIN_FAILS` — minimum failures in the window to alert.
-- `BRUTE_NOTIFY_COOLDOWN_SEC` — cooldown between repeat alerts for the same IP.
-- `PROMETHEUS_TEXTFILE_DIR` — if set to an existing directory, writes `ssh_monitor.prom` with `ssh_monitor_last_loop_unixtime` each iteration.
-- `HEALTHCHECK_STATUS_FILE` — if set, updates JSON `{ "ts", "hostname", "dry_run" }` each iteration.
-- `ENABLE_IP_BAN` — enable auto-ban (`1`) or monitor-only with alerts (`0`; **ipset** not required).
-- `BAN_TIME` — ban duration in seconds (`ENABLE_IP_BAN=1`).
-- `MAX_ATTEMPTS` — failed SSH attempts before auto-ban.
-- `BAN_CHECK_INTERVAL` — interval to check expired bans and reconcile ban list with firewall (seconds).
-- `MONITOR_INTERVAL` — pause between main loop iterations (seconds).
-- `WHITELIST_IPS` — comma-separated whitelist (IPv4/IPv6 exact match).
-- `WHITELIST_SUBNETS` — **IPv4-only** CIDR whitelist, comma-separated (e.g. `10.0.0.0/24`).
-- `WATCHDOG_MAX_HEARTBEAT_AGE` — seconds after which heartbeat is stale.
-- `WATCHDOG_LOG_FILE` — watchdog log file.
-- `WATCHDOG_SERVICE_NAME` — systemd service watched by watchdog (default `ssh-monitor.service`).
-- `WATCHDOG_NOTIFY_ON_RECOVERY` — `1` enables watchdog “OK” messages when healthy, `0` disables.
-
-### Notification channels and empty NOTIFY_CHAIN
-
-What counts as a **configured** channel (only these join the auto chain when **`NOTIFY_ORDER=""`**):
-
-| Channel | “Configured” condition |
-|---------|------------------------|
-| `telegram` | **`TELEGRAM_BOT_TOKEN`** and **`TELEGRAM_CHAT_ID`** set |
-| `email` | non-empty **`MAIL_SMTP_HOST`**, **`MAIL_FROM`**, **`MAIL_TO`**, **`python3`** in PATH |
-
-If **`NOTIFY_CHAIN` is empty**, the script exits with **`Не настроен ни один канал отправки оповещений`** (see step 3 in **Configuration**).
-
-### systemd-logind monitoring
-
-- Collects **`systemd-logind`** unit messages via **`journalctl`** (`-o cat`): new/ended sessions, and lines containing *failed* (if enabled).
-- Without **`journalctl`**, this block **does not run** (like other journal-based features).
-- “New session” parsing expects typical English formats (`New session … of user …`). On mismatch, the line is still logged with a parse warning.
-- **`loginctl`** is used for **`LOGIND_SKIP_REMOTE`**: **Type** and **Service** decide whether to avoid duplicate Telegram with **`monitor_ssh`** (see `LOGIND_SKIP_REMOTE` above).
-- **`monitor_ssh`**: **sshd** events mostly **`journalctl _COMM=sshd`** (fallback units `sshd` / `ssh`), lines **`sort -u`**, **`Accepted`** dedup per **user|IP|port** within one pass; between passes **`SSH_ACCEPT_NOTIFY_DEDUP_SEC`** for **user|IP** (see config).
-
-**`ssh-monitor --check-config`** prints current values, including logind settings.
-
-Hosts **without journald** and **`/var/log/auth.log`** caveats: section 4 in [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
-
-### Server identification in alerts
-
-**All** notifications sent via **`notify_send()`** get a **«🖥️ Сервер: …»** line (Russian label in messages) right after the title: `hostname (IPv4)` or hostname only. Implemented centrally in **`message_ensure_server_line()`**; no need to add the line in each alert builder.
-
-- Requires **`hostname`** and **`ip`** (see prerequisites doc).
-- Optional **`SERVER_DISPLAY_NAME`** in config for a fixed label.
-- Message types and examples: [docs/notifications.ru.md](docs/notifications.ru.md) (Russian).
-
-### Auto-update
-
-**`update_ssh_monitor.sh`** can run on a schedule to `git pull`, compare SHA256 with `/usr/local/bin/ssh-monitor`, copy on change, and restart **`ssh-monitor.service`**. Does not modify `/etc/ssh-monitor.conf`.
-
-Setup guide: [docs/auto-update.ru.md](docs/auto-update.ru.md) (Russian).
-
-## Run modes
-
-Normal run (root):
-
-```bash
-sudo bash ./ssh-monitor
-```
-
-Check config and syntax **without** starting the loop, **without** changing `iptables`, no mandatory Telegram send:
-
-```bash
-sudo bash ./ssh-monitor --check-config
-```
-
-**Dry-run** (firewall rules unchanged; notifications go to stderr instead of sending):
-
-```bash
-sudo bash ./ssh-monitor --dry-run
-```
-
-## Syntax check
-
-```bash
-bash -n ./ssh-monitor
-```
-
-## Release tarball
-
-Version is set as **`SSH_MONITOR_VERSION`** in **`ssh-monitor`** and **`version.txt`** (currently **2.1.0-SAC**). **`sac-client.sh`** reports the same version to SAC. Build from the git tree:
-
-```bash
-make dist
-```
-
-Produces `ssh-monitor-<version>.tar.gz` (via `git archive`). Prebuilt archives are attached to [GitHub releases](https://git.kalinamall.ru/PapaTramp/ssh-monitor/releases).
-
-## Installing the script, config, and systemd
-
-1. Install the script:
-   - `sudo install -m 750 ./ssh-monitor /usr/local/bin/ssh-monitor`
-2. Ensure config exists (see **Configuration**):
-   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
-   - `sudo chmod 600 /etc/ssh-monitor.conf`
-3. Create `/etc/systemd/system/ssh-monitor.service`:
-
-```ini
-[Unit]
-Description=SSH Monitor with Telegram alerts
-After=network-online.target
-Wants=network-online.target
-
-[Service]
-Type=simple
-ExecStart=/usr/local/bin/ssh-monitor
-Restart=always
-RestartSec=5
-User=root
-
-[Install]
-WantedBy=multi-user.target
-```
-
-4. Enable and start:
-
-```bash
-sudo systemctl daemon-reload
-sudo systemctl enable ssh-monitor
-sudo systemctl start ssh-monitor
-```
-
-5. Status and logs:
-
-```bash
-sudo systemctl status ssh-monitor
-sudo journalctl -u ssh-monitor -f
-```
-
-## Log rotation
-
-Example `logrotate` config: `contrib/logrotate.d/ssh-monitor`. Copy to `/etc/logrotate.d/` and adjust paths for your `LOG_FILE` / `WATCHDOG_LOG_FILE` and state files under `/var/log/` (including `LAST_*` if you rotate them separately).
-
-## Watchdog (automatic recovery)
-
-The watchdog checks `ssh-monitor.service` activity and heartbeat freshness (`LAST_HEARTBEAT_FILE`). On failure it runs `systemctl restart` and sends a notification (Telegram, or `BACKUP_WEBHOOK_URL` if Telegram fails).
-
-Step-by-step **ssh-monitor-watchdog** and **timer** setup: section 6 in [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
-
-**Keywords (search):** SSH, **sshd**, **bash** on **Linux**, **Telegram**, **SMTP**, **systemd-logind**, **sudo**, **journalctl**, **iptables** / **ip6tables**, automatic **IP ban** and **whitelist**, **systemd** unit, **daily report**, **heartbeat**, **OpenSSH**, server security, **Prometheus** textfile, optional **watchdog**.
-
-## License
-
-This project is licensed under the **MIT License** — see [LICENSE](LICENSE).

sac-client.sh

@@ -1,448 +0,0 @@
-# SAC client for ssh-monitor (source from ssh-monitor)
-# Версия для SAC = SSH_MONITOR_VERSION в ssh-monitor (отдельный номер здесь не задаётся).
-# shellcheck shell=bash
-
-sac_normalize_mode() {
- printf '%s' "${1:-off}" | tr '[:upper:]' '[:lower:]'
-}
-
-sac_is_configured() {
- [ -n "${SAC_URL:-}" ] && [ -n "${SAC_API_KEY:-}" ]
-}
-
-sac_base_url() {
- local url="${SAC_URL%/}"
- case "$url" in
- */api/v1/events) url="${url%/api/v1/events}" ;;
- esac
- printf '%s' "${url%/}"
-}
-
-# URL ingest (POST): всегда .../api/v1/events, даже если в конфиге указан только хост
-sac_ingest_url() {
- local base
- base="$(sac_base_url)"
- [ -n "$base" ] || return 1
- printf '%s/api/v1/events' "$base"
-}
-
-sac_agent_instance_id() {
- local id_file="${SAC_AGENT_ID_FILE:-/var/lib/ssh-monitor/agent_instance_id}"
- local dir
- dir="$(dirname "$id_file")"
- if [ ! -d "$dir" ]; then
- mkdir -p "$dir" 2>/dev/null || id_file="/tmp/ssh-monitor-agent_instance_id"
- fi
- if [ -f "$id_file" ]; then
- cat "$id_file"
- return 0
- fi
- local new_id
- new_id="$(python3 -c 'import uuid; print(uuid.uuid4())')"
- printf '%s\n' "$new_id" >"$id_file" 2>/dev/null || true
- printf '%s' "$new_id"
-}
-
-sac_check_health() {
- local base code
- base="$(sac_base_url)"
- [ -n "$base" ] || return 1
- if [ "${DRY_RUN:-0}" = "1" ]; then
- return 0
- fi
- code="$(curl -sS -o /dev/null -w '%{http_code}' \
-  --connect-timeout "${SAC_TIMEOUT_SEC:-12}" \
-  --max-time "${SAC_TIMEOUT_SEC:-12}" \
-  "${base}/health" || echo 000)"
- [ "$code" = "200" ]
-}
-
-sac_spool_write() {
- local event_id="$1"
- local body="$2"
- local dir="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
- mkdir -p "$dir" 2>/dev/null || return 1
- printf '%s' "$body" >"${dir}/${event_id}.json"
-}
-
-sac_spool_remove() {
- local event_id="$1"
- local dir="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
- rm -f "${dir}/${event_id}.json"
-}
-
-sac_fail_count_file() {
- printf '%s' "${SAC_FAIL_COUNT_FILE:-/var/lib/ssh-monitor/sac-fail.count}"
-}
-
-sac_read_fail_count() {
- local f
- f="$(sac_fail_count_file)"
- if [ -f "$f" ]; then
- cat "$f" 2>/dev/null | tr -dc '0-9'
- else
- printf '0'
- fi
-}
-
-sac_write_fail_count() {
- local n="$1"
- local f
- f="$(sac_fail_count_file)"
- mkdir -p "$(dirname "$f")" 2>/dev/null || true
- printf '%s' "$n" >"$f"
-}
-
-sac_reset_fail_count() {
- sac_write_fail_count 0
-}
-
-sac_increment_fail_count() {
- local n max
- max="${SAC_FALLBACK_FAILURES:-5}"
- n="$(sac_read_fail_count)"
- n=$((n + 1))
- sac_write_fail_count "$n"
- [ "$n" -ge "$max" ]
-}
-
-# В fallback: после N подряд ошибок POST не дергать SAC, пока /health снова не OK.
-sac_should_attempt_send() {
- local mode
- mode="$(sac_normalize_mode "${UseSAC:-off}")"
- [ "$mode" = "fallback" ] || return 0
- local max n
- max="${SAC_FALLBACK_FAILURES:-5}"
- n="$(sac_read_fail_count)"
- [ "$n" -lt "$max" ] && return 0
- if sac_check_health; then
- sac_reset_fail_count
- write_log "SAC: /health восстановлен, снова отправляем в SAC (fallback)"
- return 0
- fi
- write_log "WARN: SAC fallback: пропуск POST ($n>=$max сбоев подряд), только локальные каналы"
- return 1
-}
-
-# POST готового JSON (ingest / повтор из spool). Возврат 0 при HTTP 201, 409 или 202 (legacy).
-sac_post_payload() {
- local payload="$1"
- local event_id http_code tmp resp event_type
-
- if ! sac_is_configured; then
- return 1
- fi
- if [ "${DRY_RUN:-0}" = "1" ]; then
- printf '[DRY-RUN SAC POST] %s\n' "$(printf '%s' "$payload" | head -c 120)" >&2
- return 0
- fi
-
- if ! sac_should_attempt_send; then
- return 1
- fi
-
- event_id="$(printf '%s' "$payload" | python3 -c 'import json,sys; print(json.load(sys.stdin)["event_id"])')" || return 1
- event_type="$(printf '%s' "$payload" | python3 -c 'import json,sys; print(json.load(sys.stdin).get("type","?"))')" || event_type="?"
-
- tmp="$(mktemp)"
- resp="$(mktemp)"
- printf '%s' "$payload" >"$tmp"
- http_code="$(curl -sS -o "$resp" -w '%{http_code}' \
-  -X POST "$(sac_ingest_url)" \
-  -H "Authorization: Bearer ${SAC_API_KEY}" \
-  -H "Content-Type: application/json" \
-  -H "Idempotency-Key: ${event_id}" \
-  --connect-timeout "${SAC_TIMEOUT_SEC:-12}" \
-  --max-time "${SAC_TIMEOUT_SEC:-12}" \
-  -d @"$tmp" 2>/dev/null || echo 000)"
- rm -f "$tmp"
-
- if [ "$http_code" = "201" ] || [ "$http_code" = "409" ] || [ "$http_code" = "202" ]; then
- sac_spool_remove "$event_id" 2>/dev/null || true
- sac_reset_fail_count
- write_log "SAC: принято event_id=$event_id type=$event_type"
- return 0
- fi
-
- write_log "WARN: SAC POST HTTP $http_code: $(tr '\n' ' ' <"$resp" | head -c 200)"
- sac_spool_write "$event_id" "$payload"
- sac_increment_fail_count || write_log "WARN: SAC fallback: достигнут порог SAC_FALLBACK_FAILURES"
- return 1
-}
-
-# Повторная отправка файлов из SAC_SPOOL_DIR (до max_files за вызов).
-sac_flush_spool() {
- local mode max_files="${1:-20}"
- mode="$(sac_normalize_mode "${UseSAC:-off}")"
- case "$mode" in
- off) return 0 ;;
- esac
- if ! sac_is_configured; then
- return 0
- fi
-
- local dir="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
- [ -d "$dir" ] || return 0
-
- local f count=0
- shopt -s nullglob
- for f in "$dir"/*.json; do
- [ -f "$f" ] || continue
- count=$((count + 1))
- [ "$count" -gt "$max_files" ] && break
- local payload
- payload="$(cat "$f")"
- sac_post_payload "$payload" || true
- done
- shopt -u nullglob
- return 0
-}
-
-# send_sac_event type severity title summary [details_json]
-sac_send_event() {
- local event_type="$1"
- local severity="$2"
- local title="$3"
- local summary="$4"
- local details_json="${5:-}"
-
- if ! sac_is_configured; then
- write_log "WARN: SAC не настроен (SAC_URL / SAC_API_KEY)"
- return 1
- fi
-
- if [ "${DRY_RUN:-0}" = "1" ]; then
- printf '[DRY-RUN SAC] %s | %s | %s\n' "$event_type" "$severity" "$title" >&2
- return 0
- fi
-
- if ! sac_should_attempt_send; then
- return 1
- fi
-
- local payload http_code event_id
- payload="$(SAC_EVENT_TYPE="$event_type" \
-  SAC_SEVERITY="$severity" \
-  SAC_TITLE="$title" \
-  SAC_SUMMARY="$summary" \
-  SAC_DETAILS_JSON="$details_json" \
-  SAC_AGENT_ID="$(sac_agent_instance_id)" \
-  SAC_PRODUCT_VERSION="${SSH_MONITOR_VERSION:-unknown}" \
-  SAC_SERVER_DISPLAY_NAME="$(server_display_name_with_ip)" \
-  SAC_HOST_IPV4="${SERVER_IPV4:-}" \
-  python3 <<'PY'
-import json, os, socket, uuid
-from datetime import datetime, timezone
-
-def details():
-    raw = os.environ.get("SAC_DETAILS_JSON", "").strip()
-    if not raw:
-        return None
-    return json.loads(raw)
-
-def valid_ipv4(value: str) -> bool:
-    try:
-        parts = value.split(".")
-        return len(parts) == 4 and all(0 <= int(p) <= 255 for p in parts)
-    except Exception:
-        return False
-
-def detect_host_ipv4() -> str:
-    manual = os.environ.get("SAC_HOST_IPV4", "").strip()
-    if manual and valid_ipv4(manual):
-        return manual
-    try:
-        s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
-        s.connect(("1.1.1.1", 53))
-        ip = s.getsockname()[0]
-        s.close()
-        if valid_ipv4(ip) and not ip.startswith(("127.", "169.254.")):
-            return ip
-    except Exception:
-        pass
-    try:
-        infos = socket.getaddrinfo(socket.gethostname(), None, family=socket.AF_INET)
-        for info in infos:
-            ip = info[4][0]
-            if valid_ipv4(ip) and not ip.startswith(("127.", "169.254.")):
-                return ip
-    except Exception:
-        pass
-    return ""
-
-host = socket.gethostname()
-display = os.environ.get("SAC_SERVER_DISPLAY_NAME", "").strip()
-host_ipv4 = detect_host_ipv4()
-etype = os.environ["SAC_EVENT_TYPE"]
-if etype.startswith(("ssh.", "auth.", "rdp.")):
-    category = "auth"
-elif etype.startswith("privilege."):
-    category = "privilege"
-elif etype.startswith("session."):
-    category = "session"
-elif etype.startswith("report."):
-    category = "report"
-elif etype.startswith("rdg."):
-    category = "network"
-else:
-    category = "agent"
-payload = {
-    "schema_version": "1.0",
-    "event_id": str(uuid.uuid4()),
-    "occurred_at": datetime.now(timezone.utc).astimezone().isoformat(timespec="seconds"),
-    "source": {
-        "product": "ssh-monitor",
-        "product_version": os.environ.get("SAC_PRODUCT_VERSION", "unknown"),
-        "agent_instance_id": os.environ["SAC_AGENT_ID"],
-    },
-    "host": {
-        "hostname": host,
-        "os_family": "linux",
-        **({"display_name": display} if display else {}),
-        **({"ipv4": host_ipv4} if host_ipv4 else {}),
-    },
-    "category": category,
-    "type": os.environ["SAC_EVENT_TYPE"],
-    "severity": os.environ["SAC_SEVERITY"],
-    "title": os.environ["SAC_TITLE"],
-    "summary": os.environ["SAC_SUMMARY"],
-}
-d = details()
-if d is not None:
-    payload["details"] = d
-print(json.dumps(payload, ensure_ascii=False))
-PY
-)" || return 1
-
- sac_post_payload "$payload"
-}
-
-# JSON details из переменных SAC_D_* (опционально)
-sac_build_details_json() {
- python3 <<'PY'
-import json, os
-out = {}
-for k, v in os.environ.items():
-    if k.startswith("SAC_D_") and v:
-        out[k[6:].lower()] = v
-print(json.dumps(out) if out else "")
-PY
-}
-
-sac_is_heartbeat_only_event() {
- [ "${1:-}" = "agent.heartbeat" ]
-}
-
-# Добавляет generated_by / telegram_via в JSON details для ingest.
-sac_merge_notify_details() {
- local details_json="${1:-}"
- local telegram_via="${2:-}"
- DETAILS_IN="$details_json" TG_VIA="$telegram_via" python3 <<'PY'
-import json, os
-d = {}
-raw = os.environ.get("DETAILS_IN", "").strip()
-if raw:
- try:
-  d = json.loads(raw)
- except Exception:
-  d = {}
-d.setdefault("generated_by", "agent")
-via = os.environ.get("TG_VIA", "").strip()
-if via:
- d.setdefault("telegram_via", via)
-print(json.dumps(d, ensure_ascii=False))
-PY
-}
-
-# notify_or_sac type severity title summary telegram_message [details_json]
-notify_or_sac() {
- local event_type="$1"
- local severity="$2"
- local title="$3"
- local summary="$4"
- local telegram_message="${5:-$summary}"
- local details_json="${6:-}"
- if [ -z "$details_json" ] && [ -n "${SAC_D_USER:-}${SAC_D_IP:-}${SAC_D_COMMAND:-}" ]; then
-  details_json="$(sac_build_details_json)"
- fi
- unset SAC_D_USER SAC_D_IP SAC_D_COMMAND SAC_D_ATTEMPT SAC_D_MAX SAC_D_RUN_AS SAC_D_PWD 2>/dev/null || true
- local mode
- mode="$(sac_normalize_mode "${UseSAC:-off}")"
- local tg_via=""
- case "$mode" in
- exclusive|fallback) tg_via="sac" ;;
- dual) tg_via="agent" ;;
- esac
- if [ -n "$tg_via" ]; then
-  details_json="$(sac_merge_notify_details "$details_json" "$tg_via")"
- fi
-
- # Периодический heartbeat — только SAC (браузер), без Telegram/email в любом режиме.
- if sac_is_heartbeat_only_event "$event_type"; then
-  case "$mode" in
-  off)
-   return 0
-   ;;
-  exclusive|dual|fallback)
-   sac_send_event "$event_type" "$severity" "$title" "$summary" "$details_json"
-   return $?
-   ;;
-  *)
-   return 0
-   ;;
-  esac
- fi
-
- case "$mode" in
- off)
- notify_send "$telegram_message"
- ;;
- exclusive)
- sac_send_event "$event_type" "$severity" "$title" "$summary" "$details_json"
- ;;
- dual)
-  sac_send_event "$event_type" "$severity" "$title" "$summary" "$details_json" || true
-  NOTIFY_SKIP_SAC_MIRROR=1 notify_send "$telegram_message"
-  ;;
- fallback)
-  if sac_send_event "$event_type" "$severity" "$title" "$summary" "$details_json"; then
-   return 0
-  fi
-  NOTIFY_SKIP_SAC_MIRROR=1 notify_send "$telegram_message"
-  ;;
- *)
- write_log "WARN: неизвестный UseSAC=$mode, только Telegram"
- notify_send "$telegram_message"
- ;;
- esac
-}
-
-run_check_sac() {
- printf 'Проверка SAC (ssh-monitor)\n'
- printf 'UseSAC=%s\n' "${UseSAC:-off}"
- case "$(sac_normalize_mode "${UseSAC:-off}")" in
- exclusive) printf 'Режим exclusive: уведомления только в SAC (Telegram/email с агента не отправляются)\n' ;;
- dual) printf 'Режим dual: SAC + локальные каналы NOTIFY_CHAIN\n' ;;
- fallback) printf 'Режим fallback: SAC, при сбое — NOTIFY_CHAIN\n' ;;
- esac
- printf 'SAC_URL=%s\n' "${SAC_URL:-}"
- if sac_is_configured; then
-  printf 'SAC ingest URL=%s\n' "$(sac_ingest_url)"
- fi
- if ! sac_is_configured; then
- printf 'SAC: SAC_URL или SAC_API_KEY не заданы\n' >&2
- return 1
- fi
- if sac_check_health; then
- printf 'SAC health: OK\n'
- else
- printf 'SAC health: FAIL\n' >&2
- return 1
- fi
- if sac_send_event "agent.test" "info" "SAC test" "ssh-monitor --check-sac"; then
- printf 'SAC ingest agent.test: OK (ожидается HTTP 201)\n'
- return 0
- fi
- printf 'SAC ingest agent.test: FAIL\n' >&2
- return 1
-}

scripts/pilot-verify-exclusive.sh

@@ -1,41 +0,0 @@
-#!/bin/bash
-# Проверка готовности хоста к пилоту UseSAC=exclusive (фаза 2.1).
-set -euo pipefail
-
-CONFIG="${CONFIG_FILE:-/etc/ssh-monitor.conf}"
-MONITOR="${SSH_MONITOR_BIN:-/usr/local/bin/ssh-monitor}"
-
-if [ -f "$CONFIG" ]; then
- # shellcheck disable=SC1090
- . "$CONFIG"
-fi
-
-fail=0
-ok() { printf '[OK] %s\n' "$1"; }
-bad() { printf '[FAIL] %s\n' "$1"; fail=1; }
-
-mode="$(printf '%s' "${UseSAC:-off}" | tr '[:upper:]' '[:lower:]')"
-[ "$mode" = "exclusive" ] || bad "UseSAC должен быть exclusive (сейчас: ${UseSAC:-off})"
-[ -n "${SAC_URL:-}" ] && [ -n "${SAC_API_KEY:-}" ] || bad "Задайте SAC_URL и SAC_API_KEY"
-[ -x "$MONITOR" ] || bad "Не найден $MONITOR"
-[ -f "${MONITOR%/*}/sac-client.sh" ] || bad "Нет sac-client.sh рядом с ssh-monitor"
-
-if "$MONITOR" --check-sac; then
- ok "--check-sac"
-else
- bad "--check-sac"
-fi
-
-spool="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
-pending=0
-if [ -d "$spool" ]; then
- pending=$(find "$spool" -maxdepth 1 -name '*.json' 2>/dev/null | wc -l)
-fi
-printf '     Spool %s: %s файл(ов)\n' "$spool" "$pending"
-
-if [ "$fail" -eq 0 ]; then
- printf '\nПилот exclusive: хост готов. Сгенерируйте SSH/sudo событие и проверьте только в SAC UI.\n'
- exit 0
-fi
-printf '\nИсправьте ошибки выше.\n'
-exit 1

ssh-monitor-watchdog

@@ -5,7 +5,7 @@ IFS=$'\n\t'
 CONFIG_FILE="/etc/ssh-monitor.conf"
 WATCHDOG_LOG_FILE="/var/log/ssh_monitor_watchdog.log"
 LAST_HEARTBEAT_FILE="/var/log/last_heartbeat.txt"
-WATCHDOG_MAX_HEARTBEAT_AGE=18000
+WATCHDOG_MAX_HEARTBEAT_AGE=5400
 WATCHDOG_SERVICE_NAME="ssh-monitor.service"
 WATCHDOG_NOTIFY_ON_RECOVERY="0"
 

ssh-monitor.conf.example

@@ -1,6 +1,5 @@
-# Закрытое зеркало — доверенный инстанс; в публичном GitHub используйте example без секретов.
-TELEGRAM_BOT_TOKEN="8239219522:AAEyOZX3cwNfgGOMDkf-mgjTIuoaOh5gF7I"
-TELEGRAM_CHAT_ID="2843230"
+TELEGRAM_BOT_TOKEN="replace_with_telegram_bot_token"
+TELEGRAM_CHAT_ID="replace_with_telegram_chat_id"
 
 # Резервный webhook, если ВСЕ каналы из NOTIFY_CHAIN не смогли доставить сообщение (JSON {"text":"..."}).
 # ВАЖНО: BACKUP_WEBHOOK_URL НЕ заменяет основной канал — без хотя бы одного из telegram/email
@@ -26,17 +25,6 @@ BACKUP_WEBHOOK_URL=""
 # NOTIFY_ORDER="email"
 NOTIFY_ORDER=""
 
-# --- Security Alert Center (SAC) ---
-# off | exclusive | dual | fallback — см. docs в security-alert-center (agent-integration.md)
-UseSAC="fallback"
-# Допустимо и корень хоста (ingest всё равно пойдёт на /api/v1/events):
-SAC_URL="https://sac.kalinamall.ru"
-SAC_API_KEY="sac_UkOsAT3UWiQS54KK5OJPBDCSucysQDrKFju28wmYiz8"
-SAC_SPOOL_DIR="/var/lib/ssh-monitor/sac-spool"
-SAC_FAIL_COUNT_FILE="/var/lib/ssh-monitor/sac-fail.count"
-SAC_FALLBACK_FAILURES="5"
-SAC_TIMEOUT_SEC="12"
-
 # SMTP (python3). Для авто-режима почты нужны MAIL_SMTP_HOST, MAIL_FROM, MAIL_TO.
 MAIL_SMTP_HOST=""
 MAIL_SMTP_PORT="587"
@@ -49,8 +37,6 @@ MAIL_SMTP_SSL="0"
 
 LOG_FILE="/var/log/ssh_monitor.log"
 LAST_HEARTBEAT_FILE="/var/log/last_heartbeat.txt"
-# Интервал SAC agent.heartbeat (минуты). 240 = 4 ч.
-HEARTBEAT_INTERVAL_MINUTES="240"
 LAST_REPORT_FILE="/var/log/last_daily_report.txt"
 LAST_SSH_CHECK_FILE="/var/log/last_ssh_check"
 LAST_SUDO_CHECK_FILE="/var/log/last_sudo_check"
@@ -58,9 +44,6 @@ LAST_SECURITY_EVENTS_FILE="/var/log/last_security_events_check"
 LAST_LOGIND_CHECK_FILE="/var/log/last_logind_check"
 BAN_LIST_FILE="/var/log/ssh_bans.txt"
 
-# 1 = мониторинг + автобан IP (нужен ipset). 0 = только мониторинг и уведомления (логины, неудачи, sudo, logind и т.д. — без ipset/iptables).
-ENABLE_IP_BAN="1"
-
 # systemd-logind: 1 = включено, 0 = выключено
 ENABLE_LOGIND_MONITOR="1"
 LOGIND_NOTIFY_NEW="1"
@@ -70,16 +53,11 @@ LOGIND_NOTIFY_FAILED="1"
 LOGIND_SKIP_REMOTE="1"
 
 DAILY_REPORT_HOUR="9"
-# 0 = не слать report.daily.ssh с агента (суточный отчёт только из SAC)
-DAILY_REPORT_ENABLED="1"
+# IANA-зона для «9:00» и календарной даты отчёта; пусто = как у команды date (обычно локаль сервера, см. timedatectl)
 DAILY_REPORT_TZ=""
 DAILY_REPORT_TOP_IPS="5"
 # IANA-зона для «🕐 Время» в Telegram/email. Пусто = как DAILY_REPORT_TZ, иначе зона процесса (часто UTC в systemd — см. README).
 NOTIFY_TZ=""
-# Подпись «🖥️ Сервер» в уведомлениях: пусто = hostname (+ IPv4); иначе фиксированное имя (например prod-web-01).
-# SERVER_DISPLAY_NAME="prod-web-01"
-# Явный IPv4 для SAC payload host.ipv4. Пусто = автоопределение.
-# SERVER_IPV4="10.10.20.31"
 # Не чаще 1 успешного SSH (Accepted) в Telegram на пару user+IP за N секунд (разные port в журнале). 0 = только дедуп внутри одного прохода.
 SSH_ACCEPT_NOTIFY_DEDUP_SEC="5"
 
@@ -88,11 +66,6 @@ MAX_ATTEMPTS="3"
 BAN_CHECK_INTERVAL="60"
 MONITOR_INTERVAL="10"
 
-# --- ipset (скрипт в этой папке): имена наборов и лимит элементов. Пусто в конфиге = значения по умолчанию из скрипта.
-# IPSET_NAME_V4="ssh_monitor_ban"
-# IPSET_NAME_V6="ssh_monitor_ban_v6"
-# IPSET_MAXELEM="1048576"
-
 # Окно и порог для уведомления о возможном массовом брутфорсе (journalctl)
 BRUTE_WINDOW_SEC="900"
 BRUTE_MIN_FAILS="30"
@@ -104,8 +77,7 @@ PROMETHEUS_TEXTFILE_DIR=""
 # JSON-снимок состояния на каждой итерации (timestamp, hostname, dry_run). Пусто — отключено.
 HEALTHCHECK_STATUS_FILE=""
 
-# Порог устаревания heartbeat для watchdog (сек): интервал + 1 ч запас (240 мин → 18000).
-WATCHDOG_MAX_HEARTBEAT_AGE="18000"
+WATCHDOG_MAX_HEARTBEAT_AGE="5400"
 WATCHDOG_LOG_FILE="/var/log/ssh_monitor_watchdog.log"
 WATCHDOG_SERVICE_NAME="ssh-monitor.service"
 WATCHDOG_NOTIFY_ON_RECOVERY="0"

ssh-monitor.service.example

@@ -1,14 +0,0 @@
-[Unit]
-Description=SSH Monitor with Telegram alerts and SAC integration
-After=network-online.target
-Wants=network-online.target
-
-[Service]
-Type=simple
-ExecStart=/usr/local/bin/ssh-monitor
-Restart=always
-RestartSec=5
-User=root
-
-[Install]
-WantedBy=multi-user.target

version.txt

@@ -1 +0,0 @@
-2.1.1-SAC