Compare commits
23 Commits
| Author | SHA1 | Date | |
|---|---|---|---|
 PTah
|
6511d34ca7 | ||
|
PTah
|
440577ac5a | ||
|
PTah
|
5ac4792c3c | ||
|
PTah
|
0399a6d384 | ||
|
PTah
|
6df83f1838 | ||
|
PTah
|
275d305d62 | ||
|
PTah
|
2048162057 | ||
|
PTah
|
ec0857b8f2 | ||
|
PTah
|
732f32559a | ||
|
PTah
|
141a841f6f | ||
|
PTah
|
9e756674d0 | ||
|
PTah
|
0a80effd77 | ||
|
PTah
|
de61c6c771 | ||
|
PTah
|
c96e870542 | ||
|
PTah
|
489d071208 | ||
|
PTah
|
1361fd264c | ||
|
PTah
|
65da13363d | ||
|
PTah
|
31fcc4a8a7 | ||
|
PTah
|
2ff60280ef | ||
|
PTah
|
9118bbdd64 | ||
|
PTah
|
cdb74393aa | ||
|
PTah
|
b6d9901f05 | ||
|
PTah
|
619cc9e1ac |
@@ -0,0 +1,4 @@
|
||||
# Агентские скрипты — LF в git и на Linux (manifest SHA256 = git blob).
|
||||
ssh-monitor text eol=lf
|
||||
*.sh text eol=lf
|
||||
version.txt text eol=lf
|
||||
+3
-1
@@ -11,4 +11,6 @@ ssh-monitor-*.tar.gz
|
||||
# Локальный загрузчик Rutube / yt-dlp — живёт в другом репозитории
|
||||
rutube-download.py
|
||||
.ytdl-archive.txt
|
||||
.cursorignore
|
||||
# Локальные инструменты разработки (не в Gitea/GitHub)
|
||||
.local/
|
||||
scripts/build-release-manifest.sh
|
||||
|
||||
@@ -1,10 +1,14 @@
|
||||
# Версия берётся из ssh-monitor (SSH_MONITOR_VERSION).
|
||||
.PHONY: dist clean-dist
|
||||
.PHONY: dist clean-dist manifest
|
||||
VERSION := $(shell sed -n 's/^SSH_MONITOR_VERSION="\(.*\)".*/\1/p' ssh-monitor | head -n1)
|
||||
DIST := ssh-monitor-$(VERSION).tar.gz
|
||||
|
||||
dist: $(DIST)
|
||||
|
||||
manifest:
|
||||
@test -x .local/build-release-manifest.sh || (echo "Сначала: ./contrib/install-git-hooks.sh" >&2; exit 1)
|
||||
./.local/build-release-manifest.sh
|
||||
|
||||
$(DIST): ssh-monitor
|
||||
git archive --format=tar.gz --prefix=ssh-monitor-$(VERSION)/ -o $(DIST) HEAD
|
||||
|
||||
|
||||
@@ -1,10 +1,12 @@
|
||||
# ssh-monitor
|
||||
# ssh-monitor
|
||||
|
||||
**Версия:** `2.1.0-SAC`
|
||||
**Версия:** `2.2.3-SAC`
|
||||
|
||||
Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email, бан IP (ipset), ежедневный отчёт, heartbeat.
|
||||
|
||||
**Security Alert Center:** модуль **`sac-client.sh`**, режим `UseSAC` (`off` | `exclusive` | `dual` | `fallback`) — [контракт SAC](https://git.kalinamall.ru/PapaTramp/security-alert-center/src/branch/main/docs/agent-integration.md). Обновление с хоста: `update_ssh_monitor.sh` или кнопка в SAC (SSH bootstrap).
|
||||
**Security Alert Center:** модуль **`sac-client.sh`**, режим `UseSAC` (`off` | `exclusive` | `dual` | `fallback`) — [контракт SAC](https://git.kalinamall.ru/PapaTramp/security-alert-center/src/branch/main/docs/agent-integration.md). **Основной способ обновления на Linux** — кнопка **«Обновить ssh-monitor (SSH)»** в SAC: сервер передаёт `REPO_URL` / `GIT_BRANCH`, updater сам подтягивает git, выставляет права на конфиг/spool/state и перезапускает сервис. Cron/systemd timer — опционально.
|
||||
|
||||
**Безопасность (2.1.7+):** агент работает от root; доверяйте только своему git-зеркалу (`REPO_URL`) и `/etc/ssh-monitor.conf` (`chmod 600`). Updater дописывает обязательные ключи (`CONFIG_STRICT_PERMS`, `SAC_TLS_INSECURE`, SAC-*) и **на каждом прогоне** применяет `chmod`/`chown` к конфигу, SAC-spool и state-файлам. Подробнее: [docs/security-roadmap.ru.md](docs/security-roadmap.ru.md).
|
||||
|
||||
## Состав репозитория
|
||||
|
||||
@@ -12,7 +14,7 @@ Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email,
|
||||
|------|------------|
|
||||
| **`ssh-monitor`** | Основной цикл: разбор журналов (**journalctl**: sshd, sudo, «тяжёлые» события, **systemd-logind**), цепочка уведомлений (Telegram, SMTP через **python3**, резервный webhook), при **`ENABLE_IP_BAN=1`** — учёт неудачных попыток, бан в **ipset** и согласование с **iptables**/**ip6tables**, ежедневный отчёт, heartbeat, опционально **Prometheus** textfile и JSON health. Режимы: **`--check-config`**, **`--dry-run`**. |
|
||||
| **`ssh-monitor-watchdog`** | Отдельный скрипт (обычно по **systemd timer**): проверяет, что сервис монитора активен и файл heartbeat не старше порога; при сбое выполняет **`systemctl restart`** и шлёт уведомление в Telegram или в **`BACKUP_WEBHOOK_URL`**. Читает те же `TELEGRAM_*` / webhook из `/etc/ssh-monitor.conf`. |
|
||||
| **`update_ssh_monitor.sh`** | Опциональное автообновление: `git pull` / `clone`, сравнение SHA256 с `/usr/local/bin/ssh-monitor`, синхронизация **`sac-client.sh`** рядом с монитором, перезапуск `ssh-monitor.service`. См. [docs/auto-update.ru.md](docs/auto-update.ru.md). |
|
||||
| `update_ssh_monitor.sh` | Автообновление: git + manifest verify, `sac-client.sh`, перезапуск `ssh-monitor.service`. См. [docs/auto-update.ru.md](docs/auto-update.ru.md). |
|
||||
|
||||
**Системные пакеты и зависимости** (что поставить на сервер до запуска): пошагово в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
|
||||
|
||||
@@ -37,7 +39,7 @@ Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email,
|
||||
- `TELEGRAM_BOT_TOKEN`, `TELEGRAM_CHAT_ID`
|
||||
- `NOTIFY_ORDER` — список каналов (`telegram`, `email` и сокращения **tg**, **mail**); при каждом оповещении скрипт **пытается отправить во все перечисленные** каналы по порядку (не «первый успешный — и стоп»). Пусто = в цепочку попадают только настроенные каналы (порядок по умолчанию см. в `ssh-monitor.conf.example`). Если итоговая цепочка пуста — скрипт не стартует (см. раздел **«Каналы оповещений и пустой NOTIFY_CHAIN»**).
|
||||
- `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — отправка почты через **python3** (см. таблицу каналов ниже)
|
||||
- `BACKUP_WEBHOOK_URL` — резервная доставка JSON `{"text":"..."}` (например Slack Incoming Webhook), если **все** каналы из **`NOTIFY_CHAIN`** не смогли доставить сообщение; **не заменяет** обязательность хотя бы одного основного канала (см. шаг 3)
|
||||
- `BACKUP_WEBHOOK_URL` — *(deprecated)* резервная доставка JSON, если **все** каналы из **`NOTIFY_CHAIN`** не смогли доставить; удаление в 2.3.x
|
||||
- `LOG_FILE`, `LAST_HEARTBEAT_FILE`, `LAST_REPORT_FILE`, `LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_SECURITY_EVENTS_FILE`, `LAST_LOGIND_CHECK_FILE`, `BAN_LIST_FILE`
|
||||
- `ENABLE_LOGIND_MONITOR`, `LOGIND_NOTIFY_NEW`, `LOGIND_NOTIFY_REMOVED`, `LOGIND_NOTIFY_FAILED`, `LOGIND_SKIP_REMOTE` — см. раздел «Мониторинг systemd-logind» ниже
|
||||
- `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_ENABLED` (1/0 — отчёт с агента; 0 = только SAC), `DAILY_REPORT_TZ` (опционально), `NOTIFY_TZ` (опционально), `SERVER_DISPLAY_NAME` (опционально), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
|
||||
@@ -57,7 +59,7 @@ Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email,
|
||||
- `TELEGRAM_CHAT_ID` — ID чата/пользователя, куда отправляются уведомления.
|
||||
- `NOTIFY_ORDER` — CSV имён каналов (`telegram`, `email` или `tg`, `mail`). Для **каждого** оповещения выполняется попытка доставки **во все** перечисленные каналы (при ошибке одного остальные всё равно пробуются; неудачи пишутся в **`LOG_FILE`**). Пустая строка: автоматически собирается цепочка только из реально настроенных каналов (по умолчанию порядок telegram → email; критерии «настроен» — **таблица** в разделе **«Каналы оповещений и пустой NOTIFY_CHAIN»**). Если после сборки цепочки **нет ни одного** канала, скрипт **сразу завершается** с ошибкой: **«Не настроен ни один канал отправки оповещений»** (в том числе режим `--check-config` и `--dry-run`).
|
||||
- `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — параметры SMTP для канала `email` (отправка через **python3**; см. таблицу «настроен»).
|
||||
- `BACKUP_WEBHOOK_URL` — URL для резервной отправки (тело JSON `{"text":"..."}`); только fallback при сбое основных каналов, **не засчитывается** как «настроенный канал» (см. шаг 3).
|
||||
- `BACKUP_WEBHOOK_URL` — *(deprecated)* URL резервной отправки; только fallback; **не засчитывается** как основной канал
|
||||
- `LOG_FILE` — путь к основному лог-файлу скрипта.
|
||||
- `LAST_HEARTBEAT_FILE` — файл с timestamp последнего heartbeat-сообщения.
|
||||
- `LAST_REPORT_FILE` — дата последнего ежедневного отчёта в формате `YYYY-MM-DD` (старый формат Unix-времени при первом запуске будет автоматически интерпретирован).
|
||||
@@ -127,9 +129,11 @@ Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email,
|
||||
- Опционально **`SERVER_DISPLAY_NAME`** в конфиге — фиксированная подпись вместо hostname (удобно при нескольких серверах в одном Telegram-чате).
|
||||
- Типы сообщений и примеры: [docs/notifications.ru.md](docs/notifications.ru.md).
|
||||
|
||||
### Автообновление скрипта
|
||||
### Обновление агента
|
||||
|
||||
Скрипт **`update_ssh_monitor.sh`** по расписанию (cron или systemd timer) выполняет `git pull` / `clone`, сравнивает SHA256 с `/usr/local/bin/ssh-monitor`, **всегда** подтягивает **`/usr/local/bin/sac-client.sh`** и при изменении любого из файлов перезапускает **`ssh-monitor.service`**. Конфиг **`/etc/ssh-monitor.conf`** не трогается.
|
||||
**Рекомендуемый путь — SAC:** в карточке Linux-хоста кнопка **«Обновить ssh-monitor (SSH)»**. Участие админа на сервере не требуется: SAC передаёт `REPO_URL`/`GIT_BRANCH`, updater выполняет `git pull`, синхронизирует `sac-client.sh`, дописывает ключи конфига, **выставляет права** на конфиг/spool/state и перезапускает `ssh-monitor.service`.
|
||||
|
||||
Скрипт **`update_ssh_monitor.sh`** также можно запускать вручную или по расписанию (cron/systemd timer) с тем же `REPO_URL` — поведение идентично.
|
||||
|
||||
Пошаговая настройка: [docs/auto-update.ru.md](docs/auto-update.ru.md).
|
||||
|
||||
@@ -161,7 +165,9 @@ bash -n ./ssh-monitor
|
||||
|
||||
## Релизный архив
|
||||
|
||||
Версия задаётся в **`SSH_MONITOR_VERSION`** в файле **`ssh-monitor`** и дублируется в **`version.txt`** (сейчас **2.1.0-SAC**). Модуль **`sac-client.sh`** использует ту же версию для SAC `product_version`. Сборка tarball из текущего git-дерева:
|
||||
Версия задаётся в **`SSH_MONITOR_VERSION`** в файле **`ssh-monitor`** и дублируется в **`version.txt`** (та же строка, что в шапке README). Модуль **`sac-client.sh`** использует ту же версию для SAC `product_version`. **Release manifest** (`release/manifest-*.json`): [docs/release-manifest.ru.md](docs/release-manifest.ru.md) — после clone: `.\contrib\install-git-hooks.ps1` (Windows) или `./contrib/install-git-hooks.sh` (Linux/Git Bash).
|
||||
|
||||
Сборка tarball из текущего git-дерева:
|
||||
|
||||
```bash
|
||||
make dist
|
||||
|
||||
@@ -0,0 +1,66 @@
|
||||
#!/bin/bash
|
||||
# Автогенерация release/manifest-VERSION.json при bump версии (version.txt / SSH_MONITOR_VERSION).
|
||||
set -euo pipefail
|
||||
|
||||
ROOT="$(git rev-parse --show-toplevel)"
|
||||
cd "$ROOT"
|
||||
|
||||
_staged() {
|
||||
git diff --cached --name-only -- "$@"
|
||||
}
|
||||
|
||||
_version_bump_staged() {
|
||||
if _staged version.txt | grep -q .; then
|
||||
return 0
|
||||
fi
|
||||
if _staged ssh-monitor | grep -q .; then
|
||||
if git diff --cached -- ssh-monitor | grep -qE '^[+-].*SSH_MONITOR_VERSION='; then
|
||||
return 0
|
||||
fi
|
||||
fi
|
||||
return 1
|
||||
}
|
||||
|
||||
_agent_files_staged() {
|
||||
local f
|
||||
for f in ssh-monitor sac-client.sh update_ssh_monitor.sh ssh-monitor-watchdog ssh-monitor-perms.sh; do
|
||||
if _staged "$f" | grep -q .; then
|
||||
return 0
|
||||
fi
|
||||
done
|
||||
return 1
|
||||
}
|
||||
|
||||
_version_bump_staged || _agent_files_staged || exit 0
|
||||
|
||||
_find_python() {
|
||||
local c
|
||||
for c in python3 python; do
|
||||
if command -v "$c" >/dev/null 2>&1 && "$c" -c 'import sys' >/dev/null 2>&1; then
|
||||
echo "$c"
|
||||
return 0
|
||||
fi
|
||||
done
|
||||
return 1
|
||||
}
|
||||
|
||||
PY="$(_find_python)" || {
|
||||
echo "pre-commit: python нужен для manifest (рабочий python/python3 не найден)" >&2
|
||||
exit 1
|
||||
}
|
||||
|
||||
"$PY" "$ROOT/contrib/manifest/generate.py"
|
||||
VER="$(tr -d '\r\n' <"$ROOT/version.txt")"
|
||||
[ -n "$VER" ] || {
|
||||
echo "pre-commit: version.txt пуст — не могу добавить manifest" >&2
|
||||
exit 1
|
||||
}
|
||||
|
||||
MANIFEST="release/manifest-${VER}.json"
|
||||
if [ ! -f "$MANIFEST" ]; then
|
||||
echo "pre-commit: не создан $MANIFEST" >&2
|
||||
exit 1
|
||||
fi
|
||||
|
||||
git add "$MANIFEST"
|
||||
echo "pre-commit: обновлён $MANIFEST (версия $VER)"
|
||||
@@ -0,0 +1,54 @@
|
||||
# Install git hooks + local manifest wrappers (not committed to git).
|
||||
# Run from repo root: .\contrib\install-git-hooks.ps1
|
||||
$ErrorActionPreference = "Stop"
|
||||
|
||||
$Root = (Resolve-Path (Join-Path $PSScriptRoot "..")).Path
|
||||
$HookSrc = Join-Path $Root "contrib\hooks\pre-commit"
|
||||
$HookDst = Join-Path $Root ".git\hooks\pre-commit"
|
||||
$LocalDir = Join-Path $Root ".local"
|
||||
$LocalScript = Join-Path $LocalDir "build-release-manifest.ps1"
|
||||
$LocalScriptSh = Join-Path $LocalDir "build-release-manifest.sh"
|
||||
|
||||
if (-not (Test-Path (Join-Path $Root ".git"))) {
|
||||
throw "Not a git repository: $Root"
|
||||
}
|
||||
|
||||
if (-not (Test-Path $HookSrc)) {
|
||||
throw "Missing hook file: $HookSrc"
|
||||
}
|
||||
|
||||
New-Item -ItemType Directory -Force -Path (Split-Path $HookDst) | Out-Null
|
||||
Copy-Item -Force $HookSrc $HookDst
|
||||
|
||||
New-Item -ItemType Directory -Force -Path $LocalDir | Out-Null
|
||||
|
||||
@'
|
||||
# Local manifest wrapper (gitignored). Manual generation on Windows.
|
||||
$ErrorActionPreference = "Stop"
|
||||
$Root = git -C "$PSScriptRoot\.." rev-parse --show-toplevel 2>$null
|
||||
if (-not $Root) {
|
||||
$Root = (Resolve-Path (Join-Path $PSScriptRoot "..")).Path
|
||||
}
|
||||
$py = Get-Command python -ErrorAction SilentlyContinue
|
||||
if (-not $py) { $py = Get-Command python3 -ErrorAction SilentlyContinue }
|
||||
if (-not $py) { throw "python not found in PATH" }
|
||||
& $py.Source (Join-Path $Root "contrib\manifest\generate.py") @args
|
||||
if ($LASTEXITCODE -ne 0) { exit $LASTEXITCODE }
|
||||
'@ | Set-Content -Path $LocalScript -Encoding UTF8
|
||||
|
||||
@'
|
||||
#!/bin/bash
|
||||
# Local manifest wrapper (gitignored). Git Bash.
|
||||
set -euo pipefail
|
||||
ROOT="$(git rev-parse --show-toplevel)"
|
||||
exec python3 "$ROOT/contrib/manifest/generate.py" "$@"
|
||||
'@ | Set-Content -Path $LocalScriptSh -Encoding ASCII -NoNewline
|
||||
Add-Content -Path $LocalScriptSh -Value "`n" -NoNewline
|
||||
|
||||
Write-Host "OK: pre-commit hook -> $HookDst"
|
||||
Write-Host "OK: manual script (PS) -> $LocalScript"
|
||||
Write-Host "OK: manual script (sh) -> $LocalScriptSh"
|
||||
Write-Host ""
|
||||
Write-Host "Manual: .\.local\build-release-manifest.ps1"
|
||||
Write-Host " python contrib\manifest\generate.py"
|
||||
Write-Host "Pre-commit runs on version bump (python required in PATH)."
|
||||
@@ -0,0 +1,31 @@
|
||||
#!/bin/bash
|
||||
# Установка git hooks и локального скрипта ручной генерации manifest (не в git).
|
||||
set -euo pipefail
|
||||
|
||||
ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
|
||||
HOOK_SRC="$ROOT/contrib/hooks/pre-commit"
|
||||
HOOK_DST="$ROOT/.git/hooks/pre-commit"
|
||||
LOCAL_DIR="$ROOT/.local"
|
||||
LOCAL_SCRIPT="$LOCAL_DIR/build-release-manifest.sh"
|
||||
|
||||
if [ ! -d "$ROOT/.git" ]; then
|
||||
echo "ERROR: не git-репозиторий: $ROOT" >&2
|
||||
exit 1
|
||||
fi
|
||||
|
||||
mkdir -p "$LOCAL_DIR"
|
||||
cat >"$LOCAL_SCRIPT" <<'EOF'
|
||||
#!/bin/bash
|
||||
# Локальный wrapper (не коммитится). Ручная генерация manifest.
|
||||
set -euo pipefail
|
||||
ROOT="$(git rev-parse --show-toplevel)"
|
||||
exec python3 "$ROOT/contrib/manifest/generate.py" "$@"
|
||||
EOF
|
||||
chmod +x "$LOCAL_SCRIPT"
|
||||
|
||||
cp "$HOOK_SRC" "$HOOK_DST"
|
||||
chmod +x "$HOOK_DST"
|
||||
|
||||
echo "OK: pre-commit hook → $HOOK_DST"
|
||||
echo "OK: ручной скрипт → $LOCAL_SCRIPT (в .gitignore, не уйдёт в Gitea/GitHub)"
|
||||
echo "После clone: ./contrib/install-git-hooks.sh или .\\contrib\\install-git-hooks.ps1 (Windows)"
|
||||
@@ -0,0 +1,117 @@
|
||||
#!/usr/bin/env python3
|
||||
"""Генерация release/manifest-VERSION.json (SHA256 git blob = checkout на Linux)."""
|
||||
|
||||
from __future__ import annotations
|
||||
|
||||
import argparse
|
||||
import hashlib
|
||||
import json
|
||||
import os
|
||||
import subprocess
|
||||
import sys
|
||||
from pathlib import Path
|
||||
|
||||
MANIFEST_FILES = (
|
||||
"ssh-monitor",
|
||||
"sac-client.sh",
|
||||
"update_ssh_monitor.sh",
|
||||
"ssh-monitor-watchdog",
|
||||
"ssh-monitor-perms.sh",
|
||||
)
|
||||
|
||||
|
||||
def repo_root() -> Path:
|
||||
return Path(
|
||||
subprocess.check_output(["git", "rev-parse", "--show-toplevel"], text=True).strip()
|
||||
)
|
||||
|
||||
|
||||
def read_version(root: Path, explicit: str | None) -> str:
|
||||
if explicit:
|
||||
return explicit.strip()
|
||||
vt = root / "version.txt"
|
||||
if vt.is_file():
|
||||
v = vt.read_text(encoding="utf-8").strip()
|
||||
if v:
|
||||
return v
|
||||
ssh = root / "ssh-monitor"
|
||||
if ssh.is_file():
|
||||
for line in ssh.read_text(encoding="utf-8", errors="replace").splitlines():
|
||||
if line.strip().startswith("SSH_MONITOR_VERSION="):
|
||||
v = line.split("=", 1)[1].strip().strip("\"'")
|
||||
if v:
|
||||
return v
|
||||
raise SystemExit("ERROR: укажите VERSION или заполните version.txt / SSH_MONITOR_VERSION")
|
||||
|
||||
|
||||
def file_bytes_from_git(root: Path, name: str) -> bytes | None:
|
||||
for ref in (f":{name}", f"HEAD:{name}"):
|
||||
try:
|
||||
return subprocess.check_output(["git", "-C", str(root), "show", ref])
|
||||
except subprocess.CalledProcessError:
|
||||
continue
|
||||
return None
|
||||
|
||||
|
||||
def sha256_bytes(data: bytes) -> str:
|
||||
return hashlib.sha256(data).hexdigest()
|
||||
|
||||
|
||||
def sha256_release_file(root: Path, name: str) -> str:
|
||||
blob = file_bytes_from_git(root, name)
|
||||
if blob is not None:
|
||||
return sha256_bytes(blob)
|
||||
path = root / name
|
||||
if not path.is_file():
|
||||
raise SystemExit(f"ERROR: нет файла {name} (ни в git index/HEAD, ни на диске)")
|
||||
h = hashlib.sha256()
|
||||
with path.open("rb") as f:
|
||||
for chunk in iter(lambda: f.read(1024 * 1024), b""):
|
||||
h.update(chunk)
|
||||
return h.hexdigest()
|
||||
|
||||
|
||||
def main() -> None:
|
||||
parser = argparse.ArgumentParser(description="Сгенерировать release/manifest-VERSION.json")
|
||||
parser.add_argument("version", nargs="?", help="Версия (по умолчанию из version.txt)")
|
||||
parser.add_argument(
|
||||
"--pin-commit",
|
||||
action="store_true",
|
||||
help="Записать git_commit=HEAD (после коммита; в pre-commit не используется)",
|
||||
)
|
||||
args = parser.parse_args()
|
||||
|
||||
root = repo_root()
|
||||
version = read_version(root, args.version)
|
||||
|
||||
for name in MANIFEST_FILES:
|
||||
if file_bytes_from_git(root, name) is None and not (root / name).is_file():
|
||||
raise SystemExit(f"ERROR: нет файла {name}")
|
||||
|
||||
git_commit = ""
|
||||
if args.pin_commit:
|
||||
try:
|
||||
git_commit = subprocess.check_output(
|
||||
["git", "-C", str(root), "rev-parse", "HEAD"], text=True
|
||||
).strip()
|
||||
except subprocess.CalledProcessError:
|
||||
pass
|
||||
|
||||
manifest = {
|
||||
"version": version,
|
||||
"git_commit": git_commit,
|
||||
"files": {name: f"sha256:{sha256_release_file(root, name)}" for name in MANIFEST_FILES},
|
||||
}
|
||||
|
||||
out = root / "release" / f"manifest-{version}.json"
|
||||
out.parent.mkdir(parents=True, exist_ok=True)
|
||||
with out.open("w", encoding="utf-8") as f:
|
||||
json.dump(manifest, f, indent=2, ensure_ascii=False)
|
||||
f.write("\n")
|
||||
|
||||
pin = git_commit[:12] if git_commit else "(empty)"
|
||||
print(f"Wrote {out.relative_to(root)} git_commit={pin}")
|
||||
|
||||
|
||||
if __name__ == "__main__":
|
||||
main()
|
||||
+114
-113
@@ -1,80 +1,137 @@
|
||||
# Автообновление ssh-monitor
|
||||
|
||||
Скрипт **`update_ssh_monitor.sh`** в корне репозитория обновляет установленный **`/usr/local/bin/ssh-monitor`** из git-репозитория и перезапускает systemd-сервис. Конфиг **`/etc/ssh-monitor.conf`**, watchdog и таймеры **не изменяются**.
|
||||
Скрипт **`update_ssh_monitor.sh`** обновляет **`/usr/local/bin/ssh-monitor`** из git и перезапускает systemd-сервис.
|
||||
|
||||
Установка самого монитора и unit-файлов: [README.md](../README.md), зависимости: [install-prerequisites.ru.md](install-prerequisites.ru.md).
|
||||
## Основной путь: Security Alert Center
|
||||
|
||||
На продакшен-хостах обновление идёт **через SAC**, без cron:
|
||||
|
||||
1. Админ нажимает **«Обновить ssh-monitor (SSH)»** в карточке хоста.
|
||||
2. SAC по SSH запускает `/opt/scripts/update_ssh_monitor.sh` с `REPO_URL` / `GIT_BRANCH` из **Настройки → Обновления агентов**.
|
||||
3. Updater сам выполняет `git pull`, синхронизирует `sac-client.sh` и watchdog, дописывает отсутствующие ключи в **`/etc/ssh-monitor.conf`**, **выставляет `chmod`/`chown`** на конфиг, SAC-spool, счётчики и state-файлы, перезапускает **`ssh-monitor.service`**.
|
||||
|
||||
Участие админа на сервере **не требуется** (кроме первичной настройки `SAC_URL` / `SAC_API_KEY` в конфиге).
|
||||
|
||||
При **первой установке** (нет updater на хосте) SAC выполняет bootstrap с **`--deploy`**: clone, ipset при необходимости, systemd unit, полный hardening.
|
||||
|
||||
**Cron / systemd timer** — опциональная альтернатива с тем же скриптом и обязательным `REPO_URL` в окружении.
|
||||
|
||||
Watchdog и таймеры watchdog **не изменяются** при обычном update (кроме синхронизации скрипта watchdog из git).
|
||||
|
||||
**Конфиг `/etc/ssh-monitor.conf`:** при первой установке копируется из `ssh-monitor.conf.example`. При каждом update в **существующий** конфиг **дописываются** отсутствующие SAC-переменные и ключи безопасности; **`UseSAC=fallback`**. Telegram/SMTP и прочие ключи **не перезаписываются**.
|
||||
|
||||
Установка монитора и unit-файлов: [README.md](../README.md), зависимости: [install-prerequisites.ru.md](install-prerequisites.ru.md).
|
||||
|
||||
## Что делает скрипт
|
||||
|
||||
1. Создаёт рабочий каталог **`UPDATE_DIR`** (по умолчанию `/opt/scripts/update`).
|
||||
2. Проверяет наличие **`ipset`**; при отсутствии пытается установить через пакетный менеджер (apt, yum, dnf, pacman, zypper). Без ipset скрипт завершается с ошибкой — новая версия монитора с **`ENABLE_IP_BAN=1`** требует ipset.
|
||||
3. В **`UPDATE_DIR`** выполняет **`git clone`** или **`git pull origin main`** репозитория.
|
||||
4. Ищет файл **`ssh-monitor`** в клоне:
|
||||
- `$UPDATE_DIR/ssh-monitor/src/branch/main/ssh-monitor` (структура GitLab);
|
||||
- `$UPDATE_DIR/ssh-monitor/ssh-monitor` (плоский репозиторий, как в этом проекте).
|
||||
5. Сравнивает **SHA256** удалённого файла с **`LOCAL_SCRIPT_PATH`** (по умолчанию `/usr/local/bin/ssh-monitor`).
|
||||
6. **Всегда** (независимо от шага 5) синхронизирует **`sac-client.sh`** в каталог рядом с монитором (по умолчанию **`/usr/local/bin/sac-client.sh`**) — нужен для **`UseSAC`** и **`--check-sac`**.
|
||||
7. При отличии checksum **`ssh-monitor`** и/или **`sac-client.sh`**:
|
||||
- резервная копия `ssh-monitor.backup.YYYYMMDD_HHMMSS` (только для основного скрипта);
|
||||
- `cp` + `chmod +x` для `ssh-monitor`, `chmod 644` для `sac-client.sh`;
|
||||
- **`systemctl restart ssh-monitor.service`** (если есть systemctl).
|
||||
8. Пишет лог в **`LOG_FILE`** (по умолчанию `/var/log/update_script.log`).
|
||||
2. При **`--deploy`** / bootstrap SAC проверяет **`ipset`** и при отсутствии пытается установить через пакетный менеджер. Обычное обновление **не** вызывает `apt-get`.
|
||||
3. В **`UPDATE_DIR`** выполняет **`git clone`** или **`git fetch` + checkout / `git pull --ff-only`** (без слепого `reset --hard`).
|
||||
4. Проверяет **`release/manifest-VERSION.json`** (SHA256 файлов + commit) **до** копирования в `/usr/local/bin`.
|
||||
5. Ищет **`ssh-monitor`** в клоне (GitLab layout или плоский репозиторий).
|
||||
6. Сравнивает **SHA256** с **`LOCAL_SCRIPT_PATH`** (`/usr/local/bin/ssh-monitor`).
|
||||
7. **Всегда** синхронизирует **`sac-client.sh`**, **`ssh-monitor-perms.sh`**, watchdog.
|
||||
8. Дописывает ключи конфига; **`apply_runtime_security_hardening`**: `chmod 600` конфиг, `700` spool, `600` state/SAC-файлы, whitelist.
|
||||
9. При изменении **`ssh-monitor`**, **`sac-client.sh`** или конфига — **`systemctl restart ssh-monitor.service`**.
|
||||
10. Лог: **`/var/log/update_script.log`** (блок «Итог обновления», строки `manifest` и `security hardening`).
|
||||
|
||||
```mermaid
|
||||
flowchart LR
|
||||
A[cron/timer] --> B[update_ssh_monitor.sh]
|
||||
B --> C[git pull/clone]
|
||||
C --> D[sync sac-client.sh]
|
||||
A[SAC или cron] --> B[update_ssh_monitor.sh]
|
||||
B --> C[git fetch/checkout]
|
||||
C --> M{manifest OK?}
|
||||
M -->|нет| X[exit 1]
|
||||
M -->|да/skip| D[sync sac-client + perms lib]
|
||||
C --> E{SHA256 ssh-monitor?}
|
||||
D --> F{что-то обновилось?}
|
||||
D --> F[harden config/spool/state]
|
||||
E -->|да| G[backup + cp ssh-monitor]
|
||||
E -->|нет| F
|
||||
G --> F
|
||||
F -->|да| H[restart ssh-monitor.service]
|
||||
F -->|нет| I[без изменений]
|
||||
F --> H{что-то изменилось?}
|
||||
H -->|да| I[restart ssh-monitor.service]
|
||||
H -->|нет| J[без перезапуска]
|
||||
```
|
||||
|
||||
## Настройка перед первым запуском
|
||||
|
||||
Отредактируйте переменные в начале **`update_ssh_monitor.sh`**:
|
||||
|
||||
| Переменная | По умолчанию | Назначение |
|
||||
|------------|--------------|------------|
|
||||
| `UPDATE_DIR` | `/opt/scripts/update` | Каталог для git-клона |
|
||||
| `REPO_URL` | `https://git.kalinamall.ru/PapaTramp/ssh-monitor.git` | URL репозитория (на закрытом зеркале — URL своего Gitea) |
|
||||
| `LOCAL_SCRIPT_PATH` | `/usr/local/bin/ssh-monitor` | Куда копировать бинарник |
|
||||
| `REPO_URL` | *(обязательно)* | URL git — задаётся SAC, export или `Environment=` в cron |
|
||||
| `GIT_BRANCH` | `main` | Ветка для clone/pull, если **`GIT_REF`** не задан |
|
||||
| `GIT_REF` | *(пусто)* | Тег (`2.2.0-SAC`), ветка или commit SHA для checkout |
|
||||
| `GIT_VERIFY_MODE` | `off` | `off` \| `tag` \| `commit` — см. раздел ниже |
|
||||
| `GIT_ALLOW_RESET` | `0` | `1` = разрешить `git reset --hard` при расхождении истории (риск) |
|
||||
| `RELEASE_MANIFEST_STRICT` | `0` | `1` = exit 1, если manifest для версии не найден |
|
||||
| `LOCAL_SCRIPT_PATH` | `/usr/local/bin/ssh-monitor` | Куда копировать монитор |
|
||||
| `LOG_FILE` | `/var/log/update_script.log` | Лог обновлений |
|
||||
| `DEBUG` | `0` | `1` — подробный DEBUG в лог |
|
||||
| `UPDATE_VIA_SAC` | *(опционально)* | SAC выставляет `1`; при отсутствии бинарника включается `--deploy` |
|
||||
|
||||
Требования на сервере:
|
||||
Требования: **root**, **git**, **python3** (manifest verify), доступ к репозиторию.
|
||||
|
||||
- **root** (или sudo) для `cp`, `systemctl`, установки ipset;
|
||||
- **git** и сетевой доступ к репозиторию (SSH-ключ или HTTPS);
|
||||
- ветка в скрипте жёстко **`main`** — при другой ветке измените `git pull` в файле.
|
||||
## Pinned ref и manifest (2.2.0+)
|
||||
|
||||
Updater читает **`GIT_REF`**, **`GIT_VERIFY_MODE`**, **`GIT_ALLOW_RESET`** из env или `/etc/ssh-monitor.conf`.
|
||||
|
||||
### Режимы `GIT_VERIFY_MODE`
|
||||
|
||||
| Режим | Поведение | Когда |
|
||||
|-------|-----------|-------|
|
||||
| **`off`** | После fetch принять ref как есть | Тест, legacy; дефолт в скрипте |
|
||||
| **`tag`** | `GIT_REF` должен существовать как тег | **Рекомендуется для прода** |
|
||||
| **`commit`** | `GIT_REF` = полный SHA commit | Жёсткий pin без тегов |
|
||||
|
||||
Если **`GIT_REF`** пуст, используется **`GIT_BRANCH`** (`git pull --ff-only`). При невозможности fast-forward updater **не** делает `reset --hard` (только с **`GIT_ALLOW_RESET=1`**).
|
||||
|
||||
### Release manifest
|
||||
|
||||
В репозитории: **`release/manifest-VERSION.json`** — SHA256 ключевых файлов и `git_commit`. Updater сверяет manifest **после** git sync и **до** копирования бинарников.
|
||||
|
||||
- Файл найден и hash не совпал → **exit 1**, ничего не перезаписывается.
|
||||
- Файл не найден → WARN, update продолжается (или exit 1 при **`RELEASE_MANIFEST_STRICT=1`**).
|
||||
- Копирование **`update_ssh_monitor.sh`** в `/opt/scripts/` и re-exec — только если manifest для версии был и прошёл verify.
|
||||
|
||||
Генерация manifest — см. [release-manifest.ru.md](release-manifest.ru.md). После `./contrib/install-git-hooks.sh` manifest обновляется **автоматически** при bump версии в pre-commit. Ручной wrapper: `.local/build-release-manifest.sh` (не в git).
|
||||
|
||||
```bash
|
||||
./contrib/install-git-hooks.sh # один раз после clone
|
||||
# bump version.txt + ssh-monitor → git commit (hook добавит manifest)
|
||||
git tag 2.2.3-SAC
|
||||
```
|
||||
|
||||
### Примеры для прода
|
||||
|
||||
**SAC / env на хосте** (через настройки SAC или unit):
|
||||
|
||||
```bash
|
||||
REPO_URL=https://git.kalinamall.ru/PapaTramp/ssh-monitor.git
|
||||
GIT_REF=2.2.0-SAC
|
||||
GIT_VERIFY_MODE=tag
|
||||
```
|
||||
|
||||
**systemd timer** (`/etc/systemd/system/ssh-monitor-update.service`):
|
||||
|
||||
```ini
|
||||
[Service]
|
||||
Type=oneshot
|
||||
Environment=REPO_URL=https://git.kalinamall.ru/PapaTramp/ssh-monitor.git
|
||||
Environment=GIT_REF=2.2.0-SAC
|
||||
Environment=GIT_VERIFY_MODE=tag
|
||||
ExecStart=/opt/scripts/update_ssh_monitor.sh
|
||||
```
|
||||
|
||||
При доверенном закрытом зеркале **manifest + `GIT_REF=tag`** — достаточный минимум; GPG-подписи тегов — backlog (см. [security-roadmap.ru.md](security-roadmap.ru.md)).
|
||||
|
||||
## Первичная установка (--deploy)
|
||||
|
||||
Один сценарий для нового сервера (клон git, `ssh-monitor`, `sac-client.sh`, пример конфига, systemd unit):
|
||||
|
||||
```bash
|
||||
cd /path/to/ssh-monitor # или curl/clone репозитория
|
||||
sudo ./first_deploy.sh
|
||||
# то же самое:
|
||||
sudo ./update_ssh_monitor.sh --deploy
|
||||
sudo REPO_URL=https://git.kalinamall.ru/PapaTramp/ssh-monitor.git ./update_ssh_monitor.sh --deploy
|
||||
# или first_deploy.sh с REPO_URL в окружении
|
||||
```
|
||||
|
||||
Скрипт выводит в консоль, **куда что скопировано**, и список переменных для **`/etc/ssh-monitor.conf`**. Существующий конфиг **не перезаписывается**.
|
||||
Через SAC bootstrap выполняется автоматически с **`--deploy`**.
|
||||
|
||||
После установки отредактируйте конфиг и проверьте:
|
||||
|
||||
```bash
|
||||
sudo nano /etc/ssh-monitor.conf
|
||||
sudo /usr/local/bin/ssh-monitor --check-config
|
||||
sudo /usr/local/bin/ssh-monitor --check-sac
|
||||
sudo systemctl restart ssh-monitor.service
|
||||
```
|
||||
|
||||
## Установка updater (для последующих обновлений)
|
||||
## Установка updater (если не через SAC bootstrap)
|
||||
|
||||
```bash
|
||||
sudo mkdir -p /opt/scripts
|
||||
@@ -82,63 +139,26 @@ sudo cp update_ssh_monitor.sh /opt/scripts/update_ssh_monitor.sh
|
||||
sudo chmod 750 /opt/scripts/update_ssh_monitor.sh
|
||||
```
|
||||
|
||||
Проверка вручную:
|
||||
Проверка:
|
||||
|
||||
```bash
|
||||
sudo /opt/scripts/update_ssh_monitor.sh
|
||||
sudo tail -20 /var/log/update_script.log
|
||||
sudo systemctl status ssh-monitor
|
||||
sudo REPO_URL=https://git.kalinamall.ru/PapaTramp/ssh-monitor.git /opt/scripts/update_ssh_monitor.sh
|
||||
sudo tail -30 /var/log/update_script.log
|
||||
```
|
||||
|
||||
## Запуск по расписанию
|
||||
## Запуск по расписанию (опционально)
|
||||
|
||||
### Cron (пример: каждый день в 04:00)
|
||||
|
||||
```bash
|
||||
sudo crontab -e
|
||||
```
|
||||
|
||||
Добавьте:
|
||||
### Cron
|
||||
|
||||
```
|
||||
0 4 * * * /opt/scripts/update_ssh_monitor.sh
|
||||
0 4 * * * REPO_URL=https://git.kalinamall.ru/PapaTramp/ssh-monitor.git /opt/scripts/update_ssh_monitor.sh
|
||||
```
|
||||
|
||||
### systemd timer (альтернатива)
|
||||
### systemd timer
|
||||
|
||||
Создайте `/etc/systemd/system/ssh-monitor-update.service`:
|
||||
См. предыдущие примеры `ssh-monitor-update.service` / `.timer` с `Environment=REPO_URL=...`.
|
||||
|
||||
```ini
|
||||
[Unit]
|
||||
Description=Update ssh-monitor from git
|
||||
|
||||
[Service]
|
||||
Type=oneshot
|
||||
ExecStart=/opt/scripts/update_ssh_monitor.sh
|
||||
```
|
||||
|
||||
И `/etc/systemd/system/ssh-monitor-update.timer`:
|
||||
|
||||
```ini
|
||||
[Unit]
|
||||
Description=Daily ssh-monitor update
|
||||
|
||||
[Timer]
|
||||
OnCalendar=*-*-* 04:00:00
|
||||
Persistent=true
|
||||
|
||||
[Install]
|
||||
WantedBy=timers.target
|
||||
```
|
||||
|
||||
```bash
|
||||
sudo systemctl daemon-reload
|
||||
sudo systemctl enable --now ssh-monitor-update.timer
|
||||
```
|
||||
|
||||
## Откат после неудачного обновления
|
||||
|
||||
Резервные копии лежат рядом с установленным скриптом:
|
||||
## Откат
|
||||
|
||||
```bash
|
||||
ls -la /usr/local/bin/ssh-monitor.backup.*
|
||||
@@ -146,27 +166,8 @@ sudo cp /usr/local/bin/ssh-monitor.backup.YYYYMMDD_HHMMSS /usr/local/bin/ssh-mon
|
||||
sudo systemctl restart ssh-monitor.service
|
||||
```
|
||||
|
||||
## Лог и диагностика «мгновенного» завершения
|
||||
|
||||
Все шаги пишутся в **`/var/log/update_script.log`**. При обычном запуске те же строки дублируются в stdout (кроме **`--quiet`**).
|
||||
|
||||
В конце каждого прогона — блок **«Итог обновления»**: статус `ssh-monitor` / `sac-client` / git / перезапуск и **причина**, если файлы не копировались (checksum совпал, git pull failed, скрипт не найден в клоне).
|
||||
|
||||
```bash
|
||||
sudo /opt/scripts/update_ssh_monitor.sh
|
||||
sudo tail -40 /var/log/update_script.log
|
||||
```
|
||||
|
||||
**Важно:** после `git pull` в клоне скрипт **сам обновляет** `/opt/scripts/update_ssh_monitor.sh` из репозитория и один раз перезапускает себя (если вызывали именно этот путь). Если в логе старые строки вроде `Checksums match` без блока «Итог обновления» — на сервере ещё старая копия updater; один раз:
|
||||
|
||||
```bash
|
||||
sudo cp /opt/scripts/update/ssh-monitor/update_ssh_monitor.sh /opt/scripts/update_ssh_monitor.sh
|
||||
sudo chmod 750 /opt/scripts/update_ssh_monitor.sh
|
||||
sudo /opt/scripts/update_ssh_monitor.sh
|
||||
```
|
||||
|
||||
## Ограничения
|
||||
|
||||
- Обновляется **только** файл **`ssh-monitor`**, не конфиг и не watchdog.
|
||||
- Секреты (`SAC_API_KEY`, Telegram) SAC **не** прописывает — только в `/etc/ssh-monitor.conf` на хосте.
|
||||
- При недоступном git **`git pull`** пишет предупреждение и продолжает с локальной копией.
|
||||
- На **закрытом зеркале** в `update_ssh_monitor.sh` задайте **`REPO_URL`** своего Gitea; в публичном GitHub по умолчанию — `git.kalinamall.ru/PapaTramp/ssh-monitor`.
|
||||
- **`REPO_URL`** без дефолта в скрипте — только доверенное зеркало (kalinamall / своё Gitea).
|
||||
|
||||
@@ -93,6 +93,6 @@ sudo ssh-monitor --check-config
|
||||
## Каналы доставки
|
||||
|
||||
- **`NOTIFY_CHAIN`**: `telegram`, `email` — при каждом событии попытка **во все** каналы списка.
|
||||
- **`BACKUP_WEBHOOK_URL`**: только если **все** каналы цепочки не доставили сообщение.
|
||||
- **`BACKUP_WEBHOOK_URL`** *(deprecated, legacy)*: только если **все** каналы цепочки не доставили сообщение. В типовом деплое не используется; удаление в 2.3.x.
|
||||
|
||||
Режим **`--dry-run`**: уведомления не отправляются; в stderr печатается текст **уже с подписью сервера**.
|
||||
|
||||
@@ -0,0 +1,46 @@
|
||||
# Release manifest
|
||||
|
||||
Файлы `release/manifest-VERSION.json` — SHA256 агентских скриптов **как в git** (после `checkout` на Linux). Updater сверяет их до копирования на хост.
|
||||
|
||||
## Автоматически (рекомендуется)
|
||||
|
||||
Один раз после clone:
|
||||
|
||||
**Linux / Git Bash:**
|
||||
```bash
|
||||
./contrib/install-git-hooks.sh
|
||||
```
|
||||
|
||||
**Windows (PowerShell):**
|
||||
```powershell
|
||||
.\contrib\install-git-hooks.ps1
|
||||
```
|
||||
|
||||
При коммите, если изменились **`version.txt`**, **`SSH_MONITOR_VERSION`** в `ssh-monitor` или любой из агентских файлов (`ssh-monitor`, `*.sh` из списка manifest), **pre-commit** вызовет `contrib/manifest/generate.py` и добавит `release/manifest-{версия}.json` в коммит.
|
||||
|
||||
## Ручная генерация (локально)
|
||||
|
||||
Скрипты **`.local/build-release-manifest.ps1`** (Windows) и **`.local/build-release-manifest.sh`** (Git Bash) создаются установщиком и **не коммитятся** (см. `.gitignore`).
|
||||
|
||||
```powershell
|
||||
.\.local\build-release-manifest.ps1
|
||||
.\.local\build-release-manifest.ps1 2.2.3-SAC
|
||||
```
|
||||
|
||||
```bash
|
||||
./.local/build-release-manifest.sh
|
||||
```
|
||||
|
||||
Ядро генерации в репозитории: `contrib/manifest/generate.py` (используется hook и локальным wrapper).
|
||||
|
||||
## Релиз (чек-лист)
|
||||
|
||||
1. Bump `SSH_MONITOR_VERSION` + `version.txt`
|
||||
2. `git add` изменённые файлы
|
||||
3. `git commit` — hook обновит manifest (или вручную `.local/build-release-manifest.sh`)
|
||||
4. `git tag X.Y.Z-SAC`
|
||||
5. Push в kalinamall (+ GitHub при необходимости)
|
||||
|
||||
Поле `git_commit` в manifest по умолчанию **пустое** (проверяются только SHA256 файлов). Опционально после коммита: `python3 contrib/manifest/generate.py --pin-commit`.
|
||||
|
||||
См. также [auto-update.ru.md](auto-update.ru.md).
|
||||
@@ -0,0 +1,259 @@
|
||||
# Security roadmap — ssh-monitor
|
||||
|
||||
Чек-лист правок по аудиту безопасности. **Код пока не трогаем** — документ для совместного просмотра и утверждения фаз.
|
||||
|
||||
Связанные файлы: `ssh-monitor`, `update_ssh_monitor.sh`, `sac-client.sh`, `ssh-monitor-watchdog`, `ssh-monitor.conf.example`.
|
||||
|
||||
---
|
||||
|
||||
## Модель доверия (согласовано)
|
||||
|
||||
| Объект | Кто отвечает |
|
||||
|--------|----------------|
|
||||
| **`REPO_URL`** | Оператор. Указывает **своё** зеркало (kalinamall, GitHub после санитайза, форк). Жёсткий allowlist в коде **не нужен**. |
|
||||
| **Закрытое зеркало** | Доверенный git в LAN/VPN — основной путь обновления. |
|
||||
| **Публичный GitHub** | Санитизированная копия без секретов; обновление оттуда допустимо, если оператор сам прописал URL. |
|
||||
| **`/etc/ssh-monitor.conf`** | Доверенный root-only файл; агент работает от root. |
|
||||
| **Аудиты** | Нерегулярно; roadmap закрывает разумный baseline, не «вечный SOC». |
|
||||
|
||||
---
|
||||
|
||||
## Порядок релизов
|
||||
|
||||
| Версия | Фазы | Суть |
|
||||
|--------|------|------|
|
||||
| **2.1.7-SAC** | Фаза 1 + выбранное из Фазы 4 | Права, `REPO_URL` обязателен, webhook, docs | ✅ реализовано |
|
||||
| **2.1.8-SAC** | Дополнение к 1.1 | SAC-first update: hardening прав на каждом прогоне updater | ✅ реализовано |
|
||||
| **2.1.9-SAC** | Дополнение к 1.x | Watchdog: `🖥️ Сервер:` в Telegram (как у агента) | ✅ реализовано |
|
||||
| **2.2.3-SAC** | Дополнение к 2.2.x | Подавление sudo TG при SAC bootstrap/update | ✅ реализовано |
|
||||
| **2.2.1-SAC** | Дополнение к 2.2.0 | Подавление lifecycle/watchdog TG при SAC-update | ✅ реализовано |
|
||||
| **2.2.0-SAC** | **Фаза 2** | Manifest, pinned ref, без слепого `reset --hard` | ✅ реализовано |
|
||||
| **2.3.0-SAC** | Фаза 3 | Парсер конфига без `source` (minor breaking) |
|
||||
|
||||
Bump: `ssh-monitor` (`SSH_MONITOR_VERSION`) + `version.txt` в каждом релизе.
|
||||
|
||||
**Текущий статус (2026-07-08):** фаза 2 закрыта (2.2.0-SAC). **Дальше — фаза 3 → релиз 2.3.0-SAC.**
|
||||
Backlog по ingest при массовом update (SAC + ops): [ingest-mass-update-backlog.ru.md](https://git.kalinamall.ru/PapaTramp/security-alert-center/src/branch/main/docs/ingest-mass-update-backlog.ru.md) (отдельный ToDo, не блокирует 2.2.0).
|
||||
|
||||
---
|
||||
|
||||
## Фаза 1 — 2.1.7-SAC
|
||||
|
||||
### 1.1 Права на state / spool (M4)
|
||||
|
||||
- [x] При создании каталогов и файлов состояния: `chown root:root`, каталоги `chmod 700`, файлы `chmod 600`
|
||||
- [x] Затронуть: `SAC_SPOOL_DIR`, `SAC_FAIL_COUNT_FILE`, heartbeat / last_* (где создаёт `ssh-monitor` / `sac-client.sh` / deploy)
|
||||
- [x] **2.1.8:** `update_ssh_monitor.sh` → `apply_runtime_security_hardening` на **каждом** update (SAC, cron, вручную): retrofit `chmod`/`chown` существующих путей из конфига
|
||||
- [x] В `--check-config`: предупреждение, если существующие пути с ослабленными правами
|
||||
|
||||
**Файлы:** `ssh-monitor`, `sac-client.sh`, при необходимости `update_ssh_monitor.sh`
|
||||
|
||||
---
|
||||
|
||||
### 1.2 Проверка прав конфига при старте (C1, частично)
|
||||
|
||||
- [x] Перед загрузкой конфига: если `/etc/ssh-monitor.conf` существует — проверить `root:root`, mode `600` или `400`
|
||||
- [x] **Поведение по умолчанию:** `WARN` в лог + stderr, работа продолжается (не ломать старые установки с `644`)
|
||||
- [x] Опционально в конфиге: `CONFIG_STRICT_PERMS=1` → **exit 1** при нарушении
|
||||
|
||||
**Решение агента:** strict выключен по умолчанию; в README рекомендовать `chmod 600` и позже `400`.
|
||||
|
||||
---
|
||||
|
||||
### 1.3 `BACKUP_WEBHOOK_URL` (H3) — **вариант A (soft-deprecate)**
|
||||
|
||||
- [x] В `ssh-monitor.conf.example`: закомментировать / убрать из «активного» блока, комментарий `DEPRECATED: не используется в типовом деплое; будет удалён в 2.3.x`
|
||||
- [x] В README / `docs/notifications.ru.md`: пометить **legacy / необязательно**
|
||||
- [x] В `--check-config`: если задан — `WARN: BACKUP_WEBHOOK_URL deprecated`
|
||||
- [ ] **Удаление кода** — отложить до **2.3.0** или позже, если подтвердим, что нигде не нужен
|
||||
|
||||
---
|
||||
|
||||
### 1.4 `REPO_URL` — только из env, без дефолта в коде (C3) — **утверждено**
|
||||
|
||||
- [x] Убрать захардкоженный default `https://git.kalinamall.ru/...` из `update_ssh_monitor.sh`
|
||||
- [x] При старте updater: если `REPO_URL` пуст — **exit 1**, сообщение в **stderr** и **`$LOG_FILE`**
|
||||
- [x] Текст ошибки: что задать (`export REPO_URL=...` или в systemd unit `Environment=REPO_URL=...`)
|
||||
- [x] SAC: основной путь обновления (кнопка в UI); cron/timer — опционально. Bootstrap SAC → `--deploy`
|
||||
- [x] **Не** делать allowlist доменов — оператор сам выбирает зеркало
|
||||
|
||||
**Файлы:** `update_ssh_monitor.sh`, `docs/auto-update.ru.md`, пример unit/timer если есть
|
||||
|
||||
**Заметка:** после 2.1.7 на всех хостах нужно явно прописать `REPO_URL` до следующего обновления.
|
||||
|
||||
---
|
||||
|
||||
### 1.5 Документация threat model
|
||||
|
||||
- [x] `README.md` + этот файл: root-агент, доверие к `REPO_URL` и конфигу, санитайз GitHub
|
||||
- [x] Рекомендация: критичные хосты — только закрытое зеркало; автообновление осознанно
|
||||
|
||||
---
|
||||
|
||||
## Фаза 2 — 2.2.0-SAC
|
||||
|
||||
### 2.1 Pinned ref и режим верификации (C2) — **утверждено, детали на агенте**
|
||||
|
||||
Новые переменные (env или ключи в `/etc/ssh-monitor.conf`, читаемые updater’ом):
|
||||
|
||||
| Переменная | Назначение | Рекомендация |
|
||||
|------------|------------|--------------|
|
||||
| **`GIT_REF`** | Что checkout: тег (`2.2.0-SAC`), ветка (`main`) или commit SHA | **Тег релиза** — оптимально для прода |
|
||||
| **`GIT_VERIFY_MODE`** | `off` \| `tag` \| `commit` | См. ниже |
|
||||
|
||||
**`GIT_VERIFY_MODE`:**
|
||||
|
||||
| Значение | Поведение | Когда использовать |
|
||||
|----------|-----------|-------------------|
|
||||
| **`off`** | После fetch принять ref как есть (как сейчас, но без `reset --hard` по умолчанию) | Тест, если manifest ниже достаточен |
|
||||
| **`tag`** | `GIT_REF` должен быть **аннотированным тегом**; опционально `git tag -v` (см. 2.4) | **Рекомендуется для прода** |
|
||||
| **`commit`** | `GIT_REF` = полный SHA; сверка с manifest | Жёсткий pin без тегов |
|
||||
|
||||
- [x] Реализовать чтение `GIT_REF` / `GIT_VERIFY_MODE` в `update_ssh_monitor.sh`
|
||||
- [x] Дефолты для 2.2.0: `GIT_REF` пуст → `GIT_BRANCH`; `GIT_VERIFY_MODE=off` в скрипте, **`tag`** в prod-документации
|
||||
- [x] **`docs/auto-update.ru.md`**: отдельный раздел с примерами systemd и таблицей режимов
|
||||
|
||||
---
|
||||
|
||||
### 2.2 Без слепого `reset --hard` (C2) — **утверждено**
|
||||
|
||||
- [x] При failed `git pull --ff-only`: **не** делать `reset --hard` автоматически
|
||||
- [x] Лог + stderr: «история разошлась, требуется ручное вмешательство или новый clone»
|
||||
- [x] Опционально: `GIT_ALLOW_RESET=1` только для ручного/CI (документировать риск)
|
||||
|
||||
---
|
||||
|
||||
### 2.3 Release manifest (C2, C4) — **утверждено**
|
||||
|
||||
- [x] Файл в репо, например `release/manifest-2.2.0-SAC.json`:
|
||||
|
||||
```json
|
||||
{
|
||||
"version": "2.2.0-SAC",
|
||||
"git_commit": "abc123...",
|
||||
"files": {
|
||||
"ssh-monitor": "sha256:...",
|
||||
"sac-client.sh": "sha256:...",
|
||||
"update_ssh_monitor.sh": "sha256:...",
|
||||
"ssh-monitor-watchdog": "sha256:..."
|
||||
}
|
||||
}
|
||||
```
|
||||
|
||||
- [x] Публиковать manifest при каждом релизе (в git, рядом с тегом)
|
||||
- [x] Updater: после checkout сверять SHA256 файлов из клона с manifest **до** копирования в `/usr/local/bin`
|
||||
- [x] Несовпадение → exit 1, ничего не перезаписывать
|
||||
- [x] Скрипт/цель в `Makefile` + `contrib/manifest/generate.py`; pre-commit hook; ручной `.local/` (не в remote)
|
||||
|
||||
**Связь с 2.4:** manifest из **того же** `REPO_URL` защищает от подмены файлов в clone и от «не того» коммита; не защищает от полной компрометации git-сервера (для этого GPG).
|
||||
|
||||
---
|
||||
|
||||
### 2.4 GPG-подписи тегов — **опционально, скорее отложить**
|
||||
|
||||
**Вопрос:** если обновляем только из своего `REPO_URL` (kalinamall), нужен ли GPG?
|
||||
|
||||
| Угроза | Manifest + pinned tag | + GPG tag |
|
||||
|--------|----------------------|-----------|
|
||||
| Подмена файлов в clone / wrong commit | Да | Да |
|
||||
| Компрометация аккаунта git (вредоносный force-push) | **Нет** | Да (если ключ не украден) |
|
||||
| Доверенный LAN git у оператора | Обычно достаточно manifest | Nice-to-have |
|
||||
|
||||
**Решение для roadmap:**
|
||||
|
||||
- [x] **2.2.0:** не блокировать релиз на GPG; `GIT_VERIFY_MODE=tag` без `-v`
|
||||
- [ ] **Backlog:** `GIT_GPG_VERIFY=1` + ключ в `/etc/ssh-monitor/trusted-release-key.asc`, если позже понадобится
|
||||
- [x] Документировать: при доверенном закрытом зеркале manifest + `GIT_REF=tag` — **достаточный минимум**
|
||||
|
||||
---
|
||||
|
||||
### 2.5 Re-exec updater только после verify (C4) — **утверждено**
|
||||
|
||||
- [x] `UPDATER_REEXEC` / копирование `update_ssh_monitor.sh` в `/opt/scripts/` — только если manifest SHA256 совпал
|
||||
- [x] Иначе: лог, старая версия updater остаётся, exit 1
|
||||
|
||||
---
|
||||
|
||||
## Фаза 3 — 2.3.0-SAC (парсер конфига)
|
||||
|
||||
### 3.1 Парсер без `source` (C1) — **утверждено**
|
||||
|
||||
- [ ] Whitelist ключей: `TELEGRAM_*`, `SAC_*`, `MAIL_*`, `NOTIFY_*`, числовые лимиты, пути и т.д.
|
||||
- [ ] Формат строк: `KEY="value"` / `KEY='value'` / `KEY=value`
|
||||
- [ ] Игнор `#` комментариев; неизвестные ключи — WARN (или сохранять в sidecar — не нужно)
|
||||
|
||||
**Файлы:** `ssh-monitor`, `ssh-monitor-watchdog` (если source конфиг)
|
||||
|
||||
---
|
||||
|
||||
### 3.2 Миграция — **решение агента**
|
||||
|
||||
- [ ] **2.3.0:** парсер по умолчанию; `source` **удалить**
|
||||
- [ ] Синтаксис файла **не меняется** для пользователя — те же `KEY="value"`
|
||||
- [ ] В release notes: «поведение то же, выполнение bash из конфига невозможно»
|
||||
- [ ] `ssh-monitor --check-config` проверяет неизвестные/битые строки
|
||||
- [ ] Отдельная команда миграции **не нужна** (формат тот же)
|
||||
|
||||
---
|
||||
|
||||
### 3.3 Валидация значений — **решение агента**
|
||||
|
||||
- [ ] URL: `SAC_URL`, `MAIL_SMTP_HOST` — схема https/http, не пустой host
|
||||
- [ ] Enum: `UseSAC` ∈ `off|exclusive|dual|fallback`
|
||||
- [ ] Числа: существующие `validate_numeric_or_default` расширить
|
||||
- [ ] IP/CIDR в `WHITELIST_*` — базовая проверка формата
|
||||
- [ ] Ошибки валидации → exit 1 на старте и в `--check-config`
|
||||
|
||||
---
|
||||
|
||||
### 3.x Удаление `BACKUP_WEBHOOK` (если утвердили soft-deprecate в 1.3)
|
||||
|
||||
- [ ] Удалить код и документацию в **2.3.0** или **2.4.0**, если подтверждено неиспользование
|
||||
|
||||
---
|
||||
|
||||
## Фаза 4 — что делаем, что нет
|
||||
|
||||
| Пункт | Версия | Решение |
|
||||
|-------|--------|---------|
|
||||
| **4.4** `ensure_ipset_installed` не на каждый update | 2.1.7 | **Делаем:** только `--deploy` / `first_deploy.sh`; обычный update не вызывает `apt-get` | ✅ |
|
||||
| **4.3** Права whitelist-файла | 2.1.7 | **Делаем:** при загрузке `/etc/ssh_monitor_whitelist.txt` — WARN если не root:root | ✅ |
|
||||
| **4.5** JSON healthcheck через `json.dumps` | 2.2.0 | **Делаем:** мелкий fix L3 | ✅ |
|
||||
| **4.1** Секреты не через environ в Python | — | **Не делаем** (мало выигрыша при root) |
|
||||
| **4.2** Telegram token в URL | — | **Не делаем** (ограничение Bot API) |
|
||||
| **4.6** systemd hardening (non-root) | — | **Не делаем** (ipset/iptables требуют root) |
|
||||
| **M6** Ротация логов | — | Уже есть `contrib/logrotate.d/` — только упоминание в README |
|
||||
| **M7** `set_config_kv` sed | 2.2.0 | **Делаем:** экранирование `/` и `"` в `val` при merge конфига | ✅ |
|
||||
|
||||
---
|
||||
|
||||
## Вне scope (согласовано не раздувать)
|
||||
|
||||
- Жёсткий allowlist `REPO_URL` / зеркал — оператор задаёт свой URL
|
||||
- Cert pinning TLS
|
||||
- HashiCorp Vault / systemd-creds для секретов (backlog на годы)
|
||||
- Регулярные внешние аудиты
|
||||
|
||||
---
|
||||
|
||||
## Чек-лист «перед стартом работы завтра»
|
||||
|
||||
- [x] **Релиз 2.1.7–2.1.9** — фаза 1 + SAC-first + watchdog server label
|
||||
- [x] **Релиз 2.2.0** — scope: 2.1–2.3, 2.5, 4.5, 4.7(M7); **2.4 GPG отложить**
|
||||
- [ ] **Релиз 2.3.0** — scope: 3.1–3.3, удаление webhook (если A)
|
||||
- [ ] **Дефолт `GIT_REF`** в 2.2.0: тег из `version.txt` vs `main`
|
||||
- [x] **Миграция хостов:** SAC-first update, `known_hosts`, `REPO_URL` через SAC
|
||||
- [ ] **Ingest mass-update backlog** — см. security-alert-center `docs/ingest-mass-update-backlog.ru.md`
|
||||
|
||||
---
|
||||
|
||||
## Открытые вопросы на завтра
|
||||
|
||||
1. **1.3** — `BACKUP_WEBHOOK_URL`: soft-deprecate (A), удалить сразу (B), оставить (C)?
|
||||
2. **1.2** — достаточно WARN по умолчанию или сразу strict на новых установках?
|
||||
3. **2.1** — дефолт `GIT_REF`: тег `version.txt` или ветка `main`?
|
||||
4. Подтверждение: **ни на одном хосте** не используется Slack/Discord webhook через `BACKUP_WEBHOOK_URL`?
|
||||
|
||||
---
|
||||
|
||||
*Документ создан для ревью. После утверждения — работа по фазам в отдельных коммитах с bump версии.*
|
||||
+1
-1
@@ -154,7 +154,7 @@ bash -n ./ssh-monitor
|
||||
|
||||
## Release tarball
|
||||
|
||||
Version is set as **`SSH_MONITOR_VERSION`** in **`ssh-monitor`** and **`version.txt`** (currently **2.1.0-SAC**). **`sac-client.sh`** reports the same version to SAC. Build from the git tree:
|
||||
Version is set as **`SSH_MONITOR_VERSION`** in **`ssh-monitor`** and **`version.txt`** (same string as in the README header). **`sac-client.sh`** reports the same version to SAC. Build from the git tree:
|
||||
|
||||
```bash
|
||||
make dist
|
||||
|
||||
@@ -0,0 +1,11 @@
|
||||
{
|
||||
"version": "2.2.0-SAC",
|
||||
"git_commit": "275d305d627b462cae141605a002002525aa474c",
|
||||
"files": {
|
||||
"ssh-monitor": "sha256:517e4a210f271f57717b77746352ce2c60579cf89958c1c36501951901b885d0",
|
||||
"sac-client.sh": "sha256:ffcbb0ed28e4247ccb5e74dd6e77d020f93eab8a17f9716e8913a17bc899274b",
|
||||
"update_ssh_monitor.sh": "sha256:8108dd703095d54d51070933f074c90805f383967a3d2a6d63825898ad483231",
|
||||
"ssh-monitor-watchdog": "sha256:5299bdcb481e7ca1d1042579d5c1ad8b13f3f72c1a6e922bcffd070b6c30ec80",
|
||||
"ssh-monitor-perms.sh": "sha256:c67b56060141f67c651906b31afc220a1040c151fb00f60cc5f2511d6664dc11"
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,11 @@
|
||||
{
|
||||
"version": "2.2.1-SAC",
|
||||
"git_commit": "",
|
||||
"files": {
|
||||
"ssh-monitor": "sha256:9fa2eaadceffe70358d83029668cc9bdc423697626f1c84a62552901490adcd9",
|
||||
"sac-client.sh": "sha256:ffcbb0ed28e4247ccb5e74dd6e77d020f93eab8a17f9716e8913a17bc899274b",
|
||||
"update_ssh_monitor.sh": "sha256:5e27e3514532500b84d8eca67bb968ee1dde365564ce4c3710422c43e090dc72",
|
||||
"ssh-monitor-watchdog": "sha256:d1e786247433b6340a8fd2f1578abb2933149fc328f7d0dd7dcfd2319b94dedd",
|
||||
"ssh-monitor-perms.sh": "sha256:86c919032294d47a4daf6681fd6e527babfacf778340dd4c0bcb33f63e5d063e"
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,11 @@
|
||||
{
|
||||
"version": "2.2.2-SAC",
|
||||
"git_commit": "",
|
||||
"files": {
|
||||
"ssh-monitor": "sha256:be35da47fb1cf370628795bfdfe34195a7ba098c666bd8aa092929a168a10ef6",
|
||||
"sac-client.sh": "sha256:4c481effd0e50b3db8cfa3baf3c5f228892530939df6f534a5d3d3d8a79db048",
|
||||
"update_ssh_monitor.sh": "sha256:510d63b43ea02e5aaa4385bcc6c9396ad99637c377c9880125cb2168e9d422cd",
|
||||
"ssh-monitor-watchdog": "sha256:41aa139cab0fb275249780953fceb3f8ebe01c49bf96f901dd3cf4d2fb3a9274",
|
||||
"ssh-monitor-perms.sh": "sha256:53ebf15138d59be1610e5bc14a107b942d9a7fd039683abfd2fdd0aa0b54b933"
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,11 @@
|
||||
{
|
||||
"version": "2.2.3-SAC",
|
||||
"git_commit": "",
|
||||
"files": {
|
||||
"ssh-monitor": "sha256:875252eb23640cbae34bcaaf71d07b091c71e04c29d5d5d5e90851083c5bfc21",
|
||||
"sac-client.sh": "sha256:4c481effd0e50b3db8cfa3baf3c5f228892530939df6f534a5d3d3d8a79db048",
|
||||
"update_ssh_monitor.sh": "sha256:76c610ed229d510c41ddd0d10db2b68d48c08b89eb1c8252341ce85f088bf6cd",
|
||||
"ssh-monitor-watchdog": "sha256:41aa139cab0fb275249780953fceb3f8ebe01c49bf96f901dd3cf4d2fb3a9274",
|
||||
"ssh-monitor-perms.sh": "sha256:a1ca9e72a9bd7162324c308849cfeebd449228c308edb03191171e9d3187658c"
|
||||
}
|
||||
}
|
||||
+90
-18
@@ -2,6 +2,26 @@
|
||||
# Версия для SAC = SSH_MONITOR_VERSION в ssh-monitor (отдельный номер здесь не задаётся).
|
||||
# shellcheck shell=bash
|
||||
|
||||
sac_tls_insecure_enabled() {
|
||||
case "${SAC_TLS_INSECURE:-0}" in
|
||||
1 | yes | true | on) return 0 ;;
|
||||
esac
|
||||
return 1
|
||||
}
|
||||
|
||||
sac_warn_tls_insecure() {
|
||||
if sac_tls_insecure_enabled; then
|
||||
write_log 'CRITICAL: SAC_TLS_INSECURE=1 — проверка TLS для SAC отключена (риск MITM). Только для краткой отладки в lab.'
|
||||
fi
|
||||
}
|
||||
|
||||
sac_curl() {
|
||||
if sac_tls_insecure_enabled; then
|
||||
curl -k -sS "$@"
|
||||
else
|
||||
curl -sS "$@"
|
||||
fi
|
||||
}
|
||||
sac_normalize_mode() {
|
||||
printf '%s' "${1:-off}" | tr '[:upper:]' '[:lower:]'
|
||||
}
|
||||
@@ -31,7 +51,7 @@ sac_agent_instance_id() {
|
||||
local dir
|
||||
dir="$(dirname "$id_file")"
|
||||
if [ ! -d "$dir" ]; then
|
||||
mkdir -p "$dir" 2>/dev/null || id_file="/tmp/ssh-monitor-agent_instance_id"
|
||||
ssh_monitor_secure_dir "$dir" 2>/dev/null || mkdir -p "$dir" 2>/dev/null || id_file="/tmp/ssh-monitor-agent_instance_id"
|
||||
fi
|
||||
if [ -f "$id_file" ]; then
|
||||
cat "$id_file"
|
||||
@@ -39,6 +59,7 @@ sac_agent_instance_id() {
|
||||
fi
|
||||
local new_id
|
||||
new_id="$(python3 -c 'import uuid; print(uuid.uuid4())')"
|
||||
ssh_monitor_secure_file "$id_file" 2>/dev/null || true
|
||||
printf '%s\n' "$new_id" >"$id_file" 2>/dev/null || true
|
||||
printf '%s' "$new_id"
|
||||
}
|
||||
@@ -50,9 +71,9 @@ sac_check_health() {
|
||||
if [ "${DRY_RUN:-0}" = "1" ]; then
|
||||
return 0
|
||||
fi
|
||||
code="$(curl -sS -o /dev/null -w '%{http_code}' \
|
||||
--connect-timeout "${SAC_TIMEOUT_SEC:-12}" \
|
||||
--max-time "${SAC_TIMEOUT_SEC:-12}" \
|
||||
code="$(sac_curl -o /dev/null -w '%{http_code}' \
|
||||
--connect-timeout "${SAC_TIMEOUT_SEC:-45}" \
|
||||
--max-time "${SAC_TIMEOUT_SEC:-45}" \
|
||||
"${base}/health" || echo 000)"
|
||||
[ "$code" = "200" ]
|
||||
}
|
||||
@@ -61,7 +82,8 @@ sac_spool_write() {
|
||||
local event_id="$1"
|
||||
local body="$2"
|
||||
local dir="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
|
||||
mkdir -p "$dir" 2>/dev/null || return 1
|
||||
ssh_monitor_secure_dir "$dir" 2>/dev/null || mkdir -p "$dir" 2>/dev/null || return 1
|
||||
ssh_monitor_secure_file "${dir}/${event_id}.json" 2>/dev/null || true
|
||||
printf '%s' "$body" >"${dir}/${event_id}.json"
|
||||
}
|
||||
|
||||
@@ -89,7 +111,7 @@ sac_write_fail_count() {
|
||||
local n="$1"
|
||||
local f
|
||||
f="$(sac_fail_count_file)"
|
||||
mkdir -p "$(dirname "$f")" 2>/dev/null || true
|
||||
ssh_monitor_secure_file "$f" 2>/dev/null || mkdir -p "$(dirname "$f")" 2>/dev/null || true
|
||||
printf '%s' "$n" >"$f"
|
||||
}
|
||||
|
||||
@@ -147,13 +169,13 @@ sac_post_payload() {
|
||||
tmp="$(mktemp)"
|
||||
resp="$(mktemp)"
|
||||
printf '%s' "$payload" >"$tmp"
|
||||
http_code="$(curl -sS -o "$resp" -w '%{http_code}' \
|
||||
http_code="$(sac_curl -o "$resp" -w '%{http_code}' \
|
||||
-X POST "$(sac_ingest_url)" \
|
||||
-H "Authorization: Bearer ${SAC_API_KEY}" \
|
||||
-H "Content-Type: application/json" \
|
||||
-H "Idempotency-Key: ${event_id}" \
|
||||
--connect-timeout "${SAC_TIMEOUT_SEC:-12}" \
|
||||
--max-time "${SAC_TIMEOUT_SEC:-12}" \
|
||||
--connect-timeout "${SAC_TIMEOUT_SEC:-45}" \
|
||||
--max-time "${SAC_TIMEOUT_SEC:-45}" \
|
||||
-d @"$tmp" 2>/dev/null || echo 000)"
|
||||
rm -f "$tmp"
|
||||
|
||||
@@ -170,9 +192,36 @@ sac_post_payload() {
|
||||
return 1
|
||||
}
|
||||
|
||||
# Список spool: report.daily.* первыми (старые раньше), затем остальное.
|
||||
sac_flush_spool_list_files() {
|
||||
local dir="${1:-}"
|
||||
[ -n "$dir" ] && [ -d "$dir" ] || return 0
|
||||
SPOOL_DIR="$dir" python3 <<'PY'
|
||||
import glob
|
||||
import json
|
||||
import os
|
||||
|
||||
dir_path = os.environ.get("SPOOL_DIR", "")
|
||||
daily, other = [], []
|
||||
for path in glob.glob(os.path.join(dir_path, "*.json")):
|
||||
event_type = ""
|
||||
try:
|
||||
with open(path, encoding="utf-8") as handle:
|
||||
event_type = json.load(handle).get("type", "") or ""
|
||||
except Exception:
|
||||
pass
|
||||
mtime = os.path.getmtime(path)
|
||||
bucket = daily if event_type in ("report.daily.ssh", "report.daily.rdp") else other
|
||||
bucket.append((mtime, path))
|
||||
for bucket in (daily, other):
|
||||
for _, path in sorted(bucket):
|
||||
print(path)
|
||||
PY
|
||||
}
|
||||
|
||||
# Повторная отправка файлов из SAC_SPOOL_DIR (до max_files за вызов).
|
||||
sac_flush_spool() {
|
||||
local mode max_files="${1:-20}"
|
||||
local mode max_files="${1:-${SAC_SPOOL_FLUSH_MAX_FILES:-50}}"
|
||||
mode="$(sac_normalize_mode "${UseSAC:-off}")"
|
||||
case "$mode" in
|
||||
off) return 0 ;;
|
||||
@@ -184,17 +233,14 @@ sac_flush_spool() {
|
||||
local dir="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
|
||||
[ -d "$dir" ] || return 0
|
||||
|
||||
local f count=0
|
||||
shopt -s nullglob
|
||||
for f in "$dir"/*.json; do
|
||||
[ -f "$f" ] || continue
|
||||
local f count=0 payload
|
||||
while IFS= read -r f; do
|
||||
[ -n "$f" ] && [ -f "$f" ] || continue
|
||||
count=$((count + 1))
|
||||
[ "$count" -gt "$max_files" ] && break
|
||||
local payload
|
||||
payload="$(cat "$f")"
|
||||
sac_post_payload "$payload" || true
|
||||
done
|
||||
shopt -u nullglob
|
||||
done < <(sac_flush_spool_list_files "$dir")
|
||||
return 0
|
||||
}
|
||||
|
||||
@@ -333,6 +379,13 @@ sac_is_heartbeat_only_event() {
|
||||
[ "${1:-}" = "agent.heartbeat" ]
|
||||
}
|
||||
|
||||
sac_is_daily_report_event() {
|
||||
case "${1:-}" in
|
||||
report.daily.ssh|report.daily.rdp) return 0 ;;
|
||||
*) return 1 ;;
|
||||
esac
|
||||
}
|
||||
|
||||
# Добавляет generated_by / telegram_via в JSON details для ingest.
|
||||
sac_merge_notify_details() {
|
||||
local details_json="${1:-}"
|
||||
@@ -365,7 +418,7 @@ notify_or_sac() {
|
||||
if [ -z "$details_json" ] && [ -n "${SAC_D_USER:-}${SAC_D_IP:-}${SAC_D_COMMAND:-}" ]; then
|
||||
details_json="$(sac_build_details_json)"
|
||||
fi
|
||||
unset SAC_D_USER SAC_D_IP SAC_D_COMMAND SAC_D_ATTEMPT SAC_D_MAX SAC_D_RUN_AS SAC_D_PWD 2>/dev/null || true
|
||||
unset SAC_D_USER SAC_D_IP SAC_D_SOURCE_IP SAC_D_PORT SAC_D_COMMAND SAC_D_ATTEMPT SAC_D_MAX SAC_D_RUN_AS SAC_D_PWD SAC_D_SESSION_ID SAC_D_TTY SAC_D_PTS SAC_D_SINCE 2>/dev/null || true
|
||||
local mode
|
||||
mode="$(sac_normalize_mode "${UseSAC:-off}")"
|
||||
local tg_via=""
|
||||
@@ -393,6 +446,25 @@ notify_or_sac() {
|
||||
esac
|
||||
fi
|
||||
|
||||
# Суточный отчёт — только SAC/spool; при сбое ingest не дублировать в локальный Telegram.
|
||||
if sac_is_daily_report_event "$event_type"; then
|
||||
case "$mode" in
|
||||
off)
|
||||
return 0
|
||||
;;
|
||||
exclusive|dual|fallback)
|
||||
if sac_send_event "$event_type" "$severity" "$title" "$summary" "$details_json"; then
|
||||
return 0
|
||||
fi
|
||||
write_log "WARN: daily report не принят SAC — остаётся в spool (локальный Telegram пропущен)"
|
||||
return 1
|
||||
;;
|
||||
*)
|
||||
return 0
|
||||
;;
|
||||
esac
|
||||
fi
|
||||
|
||||
case "$mode" in
|
||||
off)
|
||||
notify_send "$telegram_message"
|
||||
|
||||
@@ -1,41 +0,0 @@
|
||||
# Push main to a mirror remote with host-specific doc URLs, without leaving URL churn on main.
|
||||
# Usage: .\scripts\Push-Mirror.ps1 github|kalinamall|papatramp
|
||||
param(
|
||||
[Parameter(Mandatory = $true)]
|
||||
[ValidateSet('github', 'kalinamall', 'papatramp')]
|
||||
[string]$Target
|
||||
)
|
||||
|
||||
$ErrorActionPreference = 'Stop'
|
||||
$Root = Split-Path -Parent $PSScriptRoot
|
||||
Set-Location $Root
|
||||
|
||||
$remote = switch ($Target) {
|
||||
'github' { 'github' }
|
||||
'kalinamall' { 'kalinamall' }
|
||||
'papatramp' { 'papatramp' }
|
||||
}
|
||||
|
||||
git remote get-url $remote 2>$null | Out-Null
|
||||
if ($LASTEXITCODE -ne 0) {
|
||||
throw "remote not configured: $remote"
|
||||
}
|
||||
|
||||
if ((git status --porcelain)) {
|
||||
throw 'working tree not clean; commit or stash first'
|
||||
}
|
||||
|
||||
$before = (git rev-parse HEAD).Trim()
|
||||
& "$PSScriptRoot\Rewrite-GitHostUrls.ps1" -Target $Target
|
||||
|
||||
if (-not (git status --porcelain)) {
|
||||
Write-Output "no URL changes for $Target; pushing as-is"
|
||||
git push $remote main
|
||||
exit 0
|
||||
}
|
||||
|
||||
git add -A
|
||||
git commit -m "chore(docs): sync repository URLs for ${Target} mirror"
|
||||
git push $remote main
|
||||
git reset --hard $before
|
||||
Write-Output "pushed $remote with ${Target} URLs; local main reset to $before"
|
||||
@@ -1,57 +0,0 @@
|
||||
# Rewrite cross-repo URLs in tracked docs/config for the target Git host.
|
||||
# Usage: .\scripts\Rewrite-GitHostUrls.ps1 github|kalinamall|papatramp
|
||||
param(
|
||||
[Parameter(Mandatory = $true)]
|
||||
[ValidateSet('github', 'kalinamall', 'papatramp')]
|
||||
[string]$Target
|
||||
)
|
||||
|
||||
$ErrorActionPreference = 'Stop'
|
||||
$Root = Split-Path -Parent $PSScriptRoot
|
||||
Set-Location $Root
|
||||
|
||||
switch ($Target) {
|
||||
'github' {
|
||||
$Base = 'https://github.com/PTah'
|
||||
$BlobSuffix = '/blob/main'
|
||||
}
|
||||
'kalinamall' {
|
||||
$Base = 'https://git.kalinamall.ru/PapaTramp'
|
||||
$BlobSuffix = '/src/branch/main'
|
||||
}
|
||||
'papatramp' {
|
||||
$Base = 'https://git.papatramp.ru/PTah'
|
||||
$BlobSuffix = '/src/branch/main'
|
||||
}
|
||||
}
|
||||
|
||||
$BaseHost = $Base -replace '^https://', ''
|
||||
|
||||
$patterns = @(
|
||||
@{ From = 'https://git.kalinamall.ru/PapaTramp/([^)/''"\s]+)/blob/main/'; To = "$Base/`$1$BlobSuffix/" }
|
||||
@{ From = 'https://git.kalinamall.ru/PapaTramp/([^)/''"\s]+)/src/branch/main/'; To = "$Base/`$1$BlobSuffix/" }
|
||||
@{ From = 'https://git.kalinamall.ru/PapaTramp/([^)/''"\s]+)/src/branch/main/'; To = "$Base/`$1$BlobSuffix/" }
|
||||
@{ From = 'https://git.kalinamall.ru/PapaTramp/'; To = "$Base/" }
|
||||
@{ From = 'https://git.kalinamall.ru/PapaTramp/'; To = "$Base/" }
|
||||
@{ From = 'https://git.kalinamall.ru/PapaTramp/'; To = "$Base/" }
|
||||
@{ From = 'git.kalinamall.ru/PapaTramp/'; To = "$BaseHost/" }
|
||||
@{ From = 'git.kalinamall.ru/PapaTramp/'; To = "$BaseHost/" }
|
||||
@{ From = 'git.kalinamall.ru/PapaTramp/'; To = "$BaseHost/" }
|
||||
)
|
||||
|
||||
$extensions = @('*.md', '*.json', '*.service', '*.example', '*.sh', '*.ps1', '*.yml', '*.yaml')
|
||||
$files = git ls-files $extensions 2>$null | Where-Object { $_ -and (Test-Path $_) }
|
||||
|
||||
foreach ($file in $files) {
|
||||
$content = [System.IO.File]::ReadAllText((Join-Path $Root $file))
|
||||
$updated = $content
|
||||
foreach ($p in $patterns) {
|
||||
$updated = [regex]::Replace($updated, $p.From, $p.To)
|
||||
}
|
||||
if ($updated -ne $content) {
|
||||
[System.IO.File]::WriteAllText((Join-Path $Root $file), $updated, [System.Text.UTF8Encoding]::new($false))
|
||||
Write-Output "updated: $file"
|
||||
}
|
||||
}
|
||||
|
||||
Write-Output "Rewrite-GitHostUrls: target=$Target base=$Base"
|
||||
Executable
+156
@@ -0,0 +1,156 @@
|
||||
#!/usr/bin/env bash
|
||||
# Публичный snapshot на github: без prod URL, токенов и kalinamall-only путей.
|
||||
set -Eeuo pipefail
|
||||
|
||||
ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
|
||||
WORK="$(mktemp -d "${TMPDIR:-/tmp}/ssh-monitor-github-snapshot.XXXX")"
|
||||
trap 'rm -rf "$WORK"' EXIT
|
||||
|
||||
REF="${1:-HEAD}"
|
||||
VERSION="$(git -C "$ROOT" show "$REF":version.txt 2>/dev/null | tr -d '[:space:]' || true)"
|
||||
MSG="${2:-chore: public release ${VERSION:-snapshot} (SSH Monitor, no Cursor IDE traces)}"
|
||||
|
||||
echo "[snapshot] export $REF -> $WORK"
|
||||
git -C "$ROOT" archive --format=tar "$REF" \
|
||||
| tar -x -C "$WORK" \
|
||||
--exclude='.cursor' \
|
||||
--exclude='.env'
|
||||
|
||||
apply_sed() {
|
||||
local expr=$1
|
||||
if [[ "$(uname -s)" == Darwin ]]; then
|
||||
find "$WORK" -type f \( -name '*.md' -o -name '*.sh' -o -name '*.example' \) \
|
||||
! -path '*/scripts/push-github-snapshot.sh' \
|
||||
-print0 | xargs -0 sed -i '' -E "$expr" 2>/dev/null || true
|
||||
else
|
||||
find "$WORK" -type f \( -name '*.md' -o -name '*.sh' -o -name '*.example' \) \
|
||||
! -path '*/scripts/push-github-snapshot.sh' \
|
||||
-print0 | xargs -0 sed -i -E "$expr" 2>/dev/null || true
|
||||
fi
|
||||
}
|
||||
|
||||
echo "[snapshot] rewrite hosts and internal URLs"
|
||||
apply_sed 's#https://git\.kalinamall\.ru/PapaTramp#https://github.com/PTah#g'
|
||||
apply_sed 's#git\.kalinamall\.ru/PapaTramp#github.com/PTah#g'
|
||||
apply_sed 's#git\.kalinamall\.ru/papatramp#github.com/PTah#g'
|
||||
apply_sed 's#git\.kalinamall\.ru#github.com#g'
|
||||
apply_sed 's#sac\.kalinamall\.ru#sac.example.com#g'
|
||||
apply_sed 's#remote add kalinamall#remote add origin#g'
|
||||
apply_sed 's#remote set-url kalinamall#remote set-url origin#g'
|
||||
apply_sed 's#local name=kalinamall#local name=origin#g'
|
||||
apply_sed 's#всегда kalinamall#всегда origin#g'
|
||||
|
||||
cat >"$WORK/.gitignore" <<'EOF'
|
||||
.DS_Store
|
||||
CalculatorApp/
|
||||
.env
|
||||
.env.*
|
||||
ssh-monitor.conf
|
||||
ssh-monitor-*.tar.gz
|
||||
rutube-download.py
|
||||
.ytdl-archive.txt
|
||||
EOF
|
||||
|
||||
cat >"$WORK/ssh-monitor.conf.example" <<'EOF'
|
||||
# Example configuration — copy to /etc/ssh-monitor.conf and chmod 600.
|
||||
# Never commit real tokens or passwords to git.
|
||||
|
||||
TELEGRAM_BOT_TOKEN="YOUR_TELEGRAM_BOT_TOKEN"
|
||||
TELEGRAM_CHAT_ID="YOUR_TELEGRAM_CHAT_ID"
|
||||
|
||||
# At least one notification channel (telegram or email) is required.
|
||||
NOTIFY_ORDER=""
|
||||
|
||||
# Security Alert Center (optional)
|
||||
USE_SAC="off"
|
||||
SAC_URL="https://sac.example.com/api/v1/events"
|
||||
# SAC_API_KEY="your-ingest-api-key"
|
||||
|
||||
# SMTP (optional, requires python3)
|
||||
MAIL_SMTP_HOST=""
|
||||
MAIL_SMTP_PORT="587"
|
||||
MAIL_SMTP_USER=""
|
||||
MAIL_SMTP_PASSWORD=""
|
||||
MAIL_FROM=""
|
||||
MAIL_TO=""
|
||||
MAIL_SMTP_STARTTLS="1"
|
||||
MAIL_SMTP_SSL="0"
|
||||
|
||||
# Auto-update script default (override on your server)
|
||||
# REPO_URL=https://github.com/PTah/ssh-monitor.git
|
||||
EOF
|
||||
|
||||
if [[ -f "$WORK/README.md" ]]; then
|
||||
python3 - "$WORK/README.md" <<'PY'
|
||||
import pathlib
|
||||
import sys
|
||||
|
||||
path = pathlib.Path(sys.argv[1])
|
||||
text = path.read_text(encoding="utf-8")
|
||||
text = "".join(
|
||||
line for line in text.splitlines(keepends=True)
|
||||
if not line.startswith("> **Закрытый инстанс Gitea:**")
|
||||
)
|
||||
header = "# ssh-monitor\n\n**Версия:**"
|
||||
if header in text and "Bash monitor for" not in text.split("**Версия:**", 1)[0]:
|
||||
text = text.replace(
|
||||
header,
|
||||
"""# ssh-monitor
|
||||
|
||||
Bash monitor for **SSH**, **sudo**, and **systemd-logind** on Linux: Telegram/SMTP alerts, optional IP ban (ipset/iptables), daily report, SAC integration.
|
||||
|
||||
**Repository:** https://github.com/PTah/ssh-monitor
|
||||
|
||||
# ssh-monitor
|
||||
|
||||
**Версия:**""",
|
||||
1,
|
||||
)
|
||||
old = "## Лицензия\n\nПроект распространяется по лицензии **MIT** — см. файл [LICENSE](LICENSE).\n"
|
||||
new = """## Topics (GitHub)
|
||||
|
||||
`ssh`, `linux`, `telegram-bot`, `smtp`, `iptables`, `ipset`, `systemd`, `security`, `monitoring`, `openssh`
|
||||
|
||||
## License
|
||||
|
||||
MIT — see [LICENSE](LICENSE). Copyright (c) 2026 Andrey "PapaTramp" Lutsenko.
|
||||
|
||||
<details>
|
||||
<summary><strong>English summary</strong></summary>
|
||||
|
||||
Single-file Bash agent parsing journalctl, notification chain, brute-force IP blocking, heartbeat, optional Prometheus textfile and Security Alert Center ingest via sac-client.sh.
|
||||
|
||||
</details>
|
||||
"""
|
||||
if old not in text:
|
||||
raise SystemExit("README footer block not found; update push-github-snapshot.sh")
|
||||
path.write_text(text.replace(old, new), encoding="utf-8")
|
||||
PY
|
||||
fi
|
||||
|
||||
if [[ -f "$WORK/LICENSE" ]]; then
|
||||
if [[ "$(uname -s)" == Darwin ]]; then
|
||||
sed -i '' 's/Copyright \(c\) 2026 PTah/Copyright (c) 2026 Andrey "PapaTramp" Lutsenko/' "$WORK/LICENSE"
|
||||
else
|
||||
sed -i 's/Copyright (c) 2026 PTah/Copyright (c) 2026 Andrey "PapaTramp" Lutsenko/' "$WORK/LICENSE"
|
||||
fi
|
||||
fi
|
||||
|
||||
echo "[snapshot] secret scan"
|
||||
if grep -R -E 'AAE[a-zA-Z0-9_-]{30,}|sac_[A-Za-z0-9]{20,}|[0-9]{8,}:[A-Za-z0-9_-]{30,}' "$WORK" 2>/dev/null; then
|
||||
echo " BLOCKED: possible secrets in snapshot tree"
|
||||
exit 1
|
||||
fi
|
||||
|
||||
echo "[snapshot] git commit in temp repo"
|
||||
cd "$WORK"
|
||||
git init -q
|
||||
git checkout -q -b main
|
||||
git add -A
|
||||
git -c user.name="Andrey Lutsenko" -c user.email="papatramp@gmail.com" commit -q -m "$MSG"
|
||||
|
||||
echo "[snapshot] push github main (force snapshot)"
|
||||
git remote add github "$(git -C "$ROOT" remote get-url github)"
|
||||
git push github main --force
|
||||
|
||||
echo "[snapshot] OK -> github/main @ $(git rev-parse --short HEAD)"
|
||||
@@ -1,43 +0,0 @@
|
||||
#!/usr/bin/env bash
|
||||
# Push main to a mirror remote with host-specific doc URLs, without leaving URL churn on main.
|
||||
# Usage: push-mirror.sh github|kalinamall|papatramp
|
||||
set -euo pipefail
|
||||
|
||||
TARGET="${1:?usage: push-mirror.sh github|kalinamall|papatramp}"
|
||||
ROOT="$(cd "$(dirname "$0")/.." && pwd)"
|
||||
cd "$ROOT"
|
||||
|
||||
case "$TARGET" in
|
||||
github) REMOTE=github ;;
|
||||
kalinamall) REMOTE=kalinamall ;;
|
||||
papatramp) REMOTE=papatramp ;;
|
||||
*)
|
||||
echo "unknown target: $TARGET" >&2
|
||||
exit 1
|
||||
;;
|
||||
esac
|
||||
|
||||
if ! git remote get-url "$REMOTE" >/dev/null 2>&1; then
|
||||
echo "remote not configured: $REMOTE" >&2
|
||||
exit 1
|
||||
fi
|
||||
|
||||
if ! git diff --quiet || ! git diff --cached --quiet; then
|
||||
echo "working tree not clean; commit or stash first" >&2
|
||||
exit 1
|
||||
fi
|
||||
|
||||
BEFORE="$(git rev-parse HEAD)"
|
||||
bash "$ROOT/scripts/rewrite-git-host-urls.sh" "$TARGET"
|
||||
|
||||
if git diff --quiet; then
|
||||
echo "no URL changes for $TARGET; pushing as-is"
|
||||
git push "$REMOTE" main
|
||||
exit 0
|
||||
fi
|
||||
|
||||
git add -A
|
||||
git commit -m "chore(docs): sync repository URLs for ${TARGET} mirror"
|
||||
git push "$REMOTE" main
|
||||
git reset --hard "$BEFORE"
|
||||
echo "pushed $REMOTE with ${TARGET} URLs; local main reset to $BEFORE"
|
||||
@@ -1,67 +0,0 @@
|
||||
#!/usr/bin/env bash
|
||||
# Rewrite cross-repo URLs in tracked docs/config for the target Git host.
|
||||
# Usage: rewrite-git-host-urls.sh github|kalinamall|papatramp
|
||||
set -euo pipefail
|
||||
|
||||
TARGET="${1:?usage: rewrite-git-host-urls.sh github|kalinamall|papatramp}"
|
||||
ROOT="$(cd "$(dirname "$0")/.." && pwd)"
|
||||
cd "$ROOT"
|
||||
|
||||
case "$TARGET" in
|
||||
github)
|
||||
BASE='https://github.com/PTah'
|
||||
BLOB_SUFFIX='/blob/main'
|
||||
;;
|
||||
kalinamall)
|
||||
BASE='https://git.kalinamall.ru/PapaTramp'
|
||||
BLOB_SUFFIX='/src/branch/main'
|
||||
;;
|
||||
papatramp)
|
||||
BASE='https://git.papatramp.ru/PTah'
|
||||
BLOB_SUFFIX='/src/branch/main'
|
||||
;;
|
||||
*)
|
||||
echo "unknown target: $TARGET" >&2
|
||||
exit 1
|
||||
;;
|
||||
esac
|
||||
|
||||
# Order matters: longer patterns first.
|
||||
PATTERNS=(
|
||||
's|https://git.kalinamall.ru/PapaTramp/\([^)/"'"'"' ]*\)/blob/main/|'"${BASE}"'/\1'"${BLOB_SUFFIX}"'/|g'
|
||||
's|https://git.kalinamall.ru/PapaTramp/\([^)/"'"'"' ]*\)/src/branch/main/|'"${BASE}"'/\1'"${BLOB_SUFFIX}"'/|g'
|
||||
's|https://git.kalinamall.ru/PapaTramp/\([^)/"'"'"' ]*\)/src/branch/main/|'"${BASE}"'/\1'"${BLOB_SUFFIX}"'/|g'
|
||||
's|https://git.kalinamall.ru/PapaTramp/|'"${BASE}"'/|g'
|
||||
's|https://git.kalinamall.ru/PapaTramp/|'"${BASE}"'/|g'
|
||||
's|https://git.kalinamall.ru/PapaTramp/|'"${BASE}"'/|g'
|
||||
's|git.kalinamall.ru/PapaTramp/|'"${BASE#https://}"'/|g'
|
||||
's|git.kalinamall.ru/PapaTramp/|'"${BASE#https://}"'/|g'
|
||||
's|git.kalinamall.ru/PapaTramp/|'"${BASE#https://}"'/|g'
|
||||
)
|
||||
|
||||
FILES=()
|
||||
while IFS= read -r -d '' f; do
|
||||
FILES+=("$f")
|
||||
done < <(git ls-files '*.md' '*.json' '*.service' '*.example' '*.sh' '*.ps1' '*.yml' '*.yaml' 2>/dev/null | tr '\n' '\0')
|
||||
|
||||
if [ "${#FILES[@]}" -eq 0 ]; then
|
||||
echo "no files to rewrite" >&2
|
||||
exit 0
|
||||
fi
|
||||
|
||||
for f in "${FILES[@]}"; do
|
||||
[ -f "$f" ] || continue
|
||||
tmp="$(mktemp)"
|
||||
cp "$f" "$tmp"
|
||||
for pat in "${PATTERNS[@]}"; do
|
||||
sed -i "$pat" "$tmp" 2>/dev/null || sed -i '' "$pat" "$tmp"
|
||||
done
|
||||
if ! cmp -s "$f" "$tmp"; then
|
||||
mv "$tmp" "$f"
|
||||
echo "updated: $f"
|
||||
else
|
||||
rm -f "$tmp"
|
||||
fi
|
||||
done
|
||||
|
||||
echo "rewrite-git-host-urls: target=$TARGET base=$BASE"
|
||||
+129
-21
@@ -7,9 +7,13 @@ IFS=$'\n\t'
|
||||
# ============================================
|
||||
|
||||
CONFIG_FILE="/etc/ssh-monitor.conf"
|
||||
SSH_MONITOR_VERSION="2.1.0-SAC"
|
||||
SSH_MONITOR_VERSION="2.2.3-SAC"
|
||||
|
||||
SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
|
||||
if [ -f "$SCRIPT_DIR/ssh-monitor-perms.sh" ]; then
|
||||
# shellcheck source=ssh-monitor-perms.sh
|
||||
source "$SCRIPT_DIR/ssh-monitor-perms.sh"
|
||||
fi
|
||||
if [ -f "$SCRIPT_DIR/sac-client.sh" ]; then
|
||||
# shellcheck source=sac-client.sh
|
||||
source "$SCRIPT_DIR/sac-client.sh"
|
||||
@@ -34,9 +38,13 @@ UseSAC="off"
|
||||
SAC_URL=""
|
||||
SAC_API_KEY=""
|
||||
SAC_SPOOL_DIR="/var/lib/ssh-monitor/sac-spool"
|
||||
SAC_TIMEOUT_SEC="12"
|
||||
SAC_TIMEOUT_SEC="45"
|
||||
SAC_SPOOL_FLUSH_MAX_FILES="50"
|
||||
SAC_SPOOL_MAX_AGE_HOURS="72"
|
||||
SAC_SEND_HEARTBEAT="1"
|
||||
SAC_FALLBACK_FAILURES="5"
|
||||
SAC_TLS_INSECURE="0"
|
||||
CONFIG_STRICT_PERMS="0"
|
||||
|
||||
# Почта (SMTP через python3). Нужны MAIL_SMTP_HOST, MAIL_FROM, MAIL_TO.
|
||||
MAIL_SMTP_HOST=""
|
||||
@@ -224,7 +232,11 @@ load_config() {
|
||||
local cfg_sac_url="${SAC_URL:-}"
|
||||
local cfg_sac_api_key="${SAC_API_KEY:-}"
|
||||
local cfg_sac_spool_dir="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
|
||||
local cfg_sac_timeout_sec="${SAC_TIMEOUT_SEC:-12}"
|
||||
local cfg_sac_timeout_sec="${SAC_TIMEOUT_SEC:-45}"
|
||||
local cfg_sac_spool_flush_max="${SAC_SPOOL_FLUSH_MAX_FILES:-50}"
|
||||
local cfg_sac_spool_max_age_h="${SAC_SPOOL_MAX_AGE_HOURS:-72}"
|
||||
local cfg_sac_tls_insecure="${SAC_TLS_INSECURE:-0}"
|
||||
local cfg_config_strict_perms="${CONFIG_STRICT_PERMS:-0}"
|
||||
local cfg_mail_smtp_host="${MAIL_SMTP_HOST:-}"
|
||||
local cfg_mail_smtp_port="${MAIL_SMTP_PORT:-587}"
|
||||
local cfg_mail_smtp_user="${MAIL_SMTP_USER:-}"
|
||||
@@ -235,8 +247,13 @@ load_config() {
|
||||
local cfg_mail_smtp_ssl="${MAIL_SMTP_SSL:-0}"
|
||||
|
||||
if [ -f "$CONFIG_FILE" ]; then
|
||||
# shellcheck disable=SC1090
|
||||
source "$CONFIG_FILE"
|
||||
local _strict_peek
|
||||
_strict_peek="$(ssh_monitor_config_peek CONFIG_STRICT_PERMS "$CONFIG_FILE" "0")"
|
||||
if ! ssh_monitor_check_config_file_perms "$CONFIG_FILE" "$_strict_peek"; then
|
||||
exit 1
|
||||
fi
|
||||
# shellcheck disable=SC1090
|
||||
source "$CONFIG_FILE"
|
||||
else
|
||||
printf 'WARN: Конфиг %s не найден, использую значения по умолчанию\n' "$CONFIG_FILE" >&2
|
||||
fi
|
||||
@@ -297,6 +314,10 @@ load_config() {
|
||||
SAC_API_KEY="$(trim_value "${SAC_API_KEY:-$cfg_sac_api_key}")"
|
||||
SAC_SPOOL_DIR="$(trim_value "${SAC_SPOOL_DIR:-$cfg_sac_spool_dir}")"
|
||||
SAC_TIMEOUT_SEC="$(trim_value "${SAC_TIMEOUT_SEC:-$cfg_sac_timeout_sec}")"
|
||||
SAC_SPOOL_FLUSH_MAX_FILES="$(trim_value "${SAC_SPOOL_FLUSH_MAX_FILES:-$cfg_sac_spool_flush_max}")"
|
||||
SAC_SPOOL_MAX_AGE_HOURS="$(trim_value "${SAC_SPOOL_MAX_AGE_HOURS:-$cfg_sac_spool_max_age_h}")"
|
||||
SAC_TLS_INSECURE="$(trim_value "${SAC_TLS_INSECURE:-$cfg_sac_tls_insecure}")"
|
||||
CONFIG_STRICT_PERMS="$(trim_value "${CONFIG_STRICT_PERMS:-$cfg_config_strict_perms}")"
|
||||
MAIL_SMTP_HOST="$(trim_value "${MAIL_SMTP_HOST:-$cfg_mail_smtp_host}")"
|
||||
MAIL_SMTP_PORT="${MAIL_SMTP_PORT:-$cfg_mail_smtp_port}"
|
||||
MAIL_SMTP_USER="$(trim_value "${MAIL_SMTP_USER:-$cfg_mail_smtp_user}")"
|
||||
@@ -382,6 +403,35 @@ notify_chain_human() {
|
||||
(IFS=','; printf '%s' "${NOTIFY_CHAIN[*]}")
|
||||
}
|
||||
|
||||
write_state_file() {
|
||||
local path="$1" content="$2"
|
||||
ssh_monitor_secure_file "$path"
|
||||
printf '%s' "$content" >"$path"
|
||||
}
|
||||
|
||||
ssh_monitor_audit_state_paths() {
|
||||
local path
|
||||
for path in \
|
||||
"${SAC_SPOOL_DIR:-}" \
|
||||
"${SAC_FAIL_COUNT_FILE:-}" \
|
||||
"${LAST_HEARTBEAT_FILE:-}" \
|
||||
"${LAST_REPORT_FILE:-}" \
|
||||
"${LAST_SSH_CHECK_FILE:-}" \
|
||||
"${LAST_SUDO_CHECK_FILE:-}" \
|
||||
"${LAST_SECURITY_EVENTS_FILE:-}" \
|
||||
"${LAST_LOGIND_CHECK_FILE:-}" \
|
||||
"${BAN_LIST_FILE:-}" \
|
||||
"${HEALTHCHECK_STATUS_FILE:-}" \
|
||||
"/etc/ssh_monitor_whitelist.txt"; do
|
||||
[ -n "$path" ] || continue
|
||||
if [ -d "$path" ]; then
|
||||
ssh_monitor_warn_path_perms "$path" "каталог state" 700
|
||||
elif [ -e "$path" ]; then
|
||||
ssh_monitor_warn_path_perms "$path" "файл state" 600
|
||||
fi
|
||||
done
|
||||
}
|
||||
|
||||
validate_config() {
|
||||
validate_report_hour
|
||||
validate_numeric_or_default "BAN_TIME" "3600"
|
||||
@@ -428,6 +478,12 @@ validate_config() {
|
||||
printf '%s\n' 'Не настроен ни один канал отправки оповещений' >&2
|
||||
exit 1
|
||||
fi
|
||||
if [ -n "${BACKUP_WEBHOOK_URL:-}" ]; then
|
||||
printf 'WARN: BACKUP_WEBHOOK_URL deprecated (legacy fallback); будет удалён в 2.3.x\n' >&2
|
||||
fi
|
||||
if command -v sac_warn_tls_insecure >/dev/null 2>&1; then
|
||||
sac_warn_tls_insecure
|
||||
fi
|
||||
}
|
||||
|
||||
# ============================================
|
||||
@@ -1039,6 +1095,7 @@ block_ip() {
|
||||
return 1
|
||||
fi
|
||||
|
||||
ssh_monitor_secure_file "$BAN_LIST_FILE" 2>/dev/null || true
|
||||
echo "$ip|$ban_until|$attempts|$(date '+%Y-%m-%d %H:%M:%S')" >>"$BAN_LIST_FILE"
|
||||
|
||||
save_firewall_state
|
||||
@@ -1208,6 +1265,7 @@ load_whitelist_from_file() {
|
||||
local whitelist_file="/etc/ssh_monitor_whitelist.txt"
|
||||
|
||||
if [ -f "$whitelist_file" ]; then
|
||||
ssh_monitor_warn_path_perms "$whitelist_file" "whitelist" 600
|
||||
write_log "Загрузка белого списка из $whitelist_file"
|
||||
|
||||
while IFS= read -r line || [ -n "$line" ]; do
|
||||
@@ -1234,7 +1292,6 @@ get_active_ssh_sessions() {
|
||||
local line user tty login_time ip
|
||||
while IFS= read -r line; do
|
||||
[[ -z "$line" ]] && continue
|
||||
[[ "$line" != *"("* ]] && continue
|
||||
user=$(awk '{print $1}' <<<"$line")
|
||||
tty=$(awk '{print $2}' <<<"$line")
|
||||
login_time=$(awk '{print $3, $4}' <<<"$line")
|
||||
@@ -1316,14 +1373,14 @@ monitor_ssh() {
|
||||
message="${message}👤 Пользователь: ${user}"$'\n'
|
||||
message="${message}🌐 IP адрес: ${ip:-local}"$'\n'
|
||||
message="${message}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
|
||||
SAC_D_USER="$user" SAC_D_IP="${ip:-}" \
|
||||
SAC_D_USER="$user" SAC_D_SOURCE_IP="${ip:-}" SAC_D_IP="${ip:-}" SAC_D_PORT="${dedupe_port:-}" \
|
||||
notify_or_sac "ssh.login.success" "info" "Успешное SSH" "${user} с ${ip:-local}" "$message"
|
||||
write_log "SSH успешный вход: $user с IP ${ip:-local}"
|
||||
if [ "$user" = "root" ]; then
|
||||
local rmsg=" 🔑 SSH ВХОД ПОД ROOT "$'\n'
|
||||
rmsg="${rmsg}🌐 IP: ${ip:-local}"$'\n'
|
||||
rmsg="${rmsg}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
|
||||
SAC_D_USER="root" SAC_D_IP="${ip:-}" \
|
||||
SAC_D_USER="root" SAC_D_SOURCE_IP="${ip:-}" SAC_D_IP="${ip:-}" SAC_D_PORT="${dedupe_port:-}" \
|
||||
notify_or_sac "ssh.login.success" "warning" "SSH вход под root" "root с ${ip:-local}" "$rmsg"
|
||||
fi
|
||||
fi
|
||||
@@ -1364,7 +1421,7 @@ monitor_ssh() {
|
||||
done <<<"$ssh_logs"
|
||||
fi
|
||||
|
||||
echo "$current_time" >"$LAST_SSH_CHECK_FILE"
|
||||
write_state_file "$LAST_SSH_CHECK_FILE" "$current_time"
|
||||
}
|
||||
|
||||
# ============================================
|
||||
@@ -1457,10 +1514,17 @@ monitor_sudo() {
|
||||
[[ -n "$fp" && -n "${SUDO_DEDUP_BATCH[$fp]:-}" ]] && continue
|
||||
[[ -n "$fp" ]] && SUDO_DEDUP_BATCH[$fp]=1
|
||||
|
||||
local user sudo_cmd pwd run_as
|
||||
local user sudo_cmd pwd run_as sudo_tty=""
|
||||
parse_sudo_audit_line "$line" user sudo_cmd pwd run_as
|
||||
if [[ "$line" =~ TTY=([^[:space:];]+) ]]; then
|
||||
sudo_tty="${BASH_REMATCH[1]}"
|
||||
fi
|
||||
|
||||
if [ -n "$user" ] && [ -n "${sudo_cmd:-}" ]; then
|
||||
if ssh_monitor_sudo_is_sac_maintenance "$sudo_cmd" 2>/dev/null; then
|
||||
write_log "SUDO: пропуск SAC/update maintenance ($user): ${sudo_cmd:0:80}…"
|
||||
continue
|
||||
fi
|
||||
local message=" ⚠️ ИСПОЛЬЗОВАНИЕ SUDO "$'\n'
|
||||
message="${message}👤 Пользователь: ${user}"$'\n'
|
||||
if [ -n "$run_as" ]; then
|
||||
@@ -1471,13 +1535,14 @@ monitor_sudo() {
|
||||
message="${message}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
|
||||
local sac_summary="${user}: ${sudo_cmd}"
|
||||
SAC_D_USER="$user" SAC_D_COMMAND="$sudo_cmd" SAC_D_RUN_AS="${run_as:-}" SAC_D_PWD="${pwd:-}" \
|
||||
SAC_D_TTY="${sudo_tty:-}" \
|
||||
notify_or_sac "privilege.sudo.command" "warning" "Использование sudo" "$sac_summary" "$message"
|
||||
write_log "SUDO: $user выполнил $sudo_cmd${run_as:+ (USER=$run_as)}"
|
||||
fi
|
||||
done <<<"$sudo_logs"
|
||||
fi
|
||||
|
||||
echo "$current_time" >"$LAST_SUDO_CHECK_FILE"
|
||||
write_state_file "$LAST_SUDO_CHECK_FILE" "$current_time"
|
||||
}
|
||||
|
||||
# ============================================
|
||||
@@ -1542,13 +1607,34 @@ monitor_security_events() {
|
||||
fi
|
||||
fi
|
||||
|
||||
echo "$now" >"$LAST_SECURITY_EVENTS_FILE"
|
||||
write_state_file "$LAST_SECURITY_EVENTS_FILE" "$now"
|
||||
}
|
||||
|
||||
# ============================================
|
||||
# Локальные сессии (systemd-logind, journalctl)
|
||||
# ============================================
|
||||
|
||||
enrich_sac_logind_session_details() {
|
||||
local sid="$1"
|
||||
[ -n "$sid" ] || return 0
|
||||
SAC_D_SESSION_ID="$sid"
|
||||
command -v loginctl >/dev/null 2>&1 || return 0
|
||||
local tty remote since
|
||||
tty=$(loginctl show-session "$sid" -p TTY --value 2>/dev/null || true)
|
||||
remote=$(loginctl show-session "$sid" -p RemoteHost --value 2>/dev/null || true)
|
||||
since=$(loginctl show-session "$sid" -p Timestamp --value 2>/dev/null || true)
|
||||
if [ -n "$tty" ] && [ "$tty" != "n/a" ]; then
|
||||
SAC_D_TTY="$tty"
|
||||
case "$tty" in pts/*) SAC_D_PTS="${tty#pts/}" ;; esac
|
||||
fi
|
||||
if [ -n "$remote" ] && [ "$remote" != "n/a" ]; then
|
||||
SAC_D_SOURCE_IP="$remote"
|
||||
fi
|
||||
if [ -n "$since" ]; then
|
||||
SAC_D_SINCE="$since"
|
||||
fi
|
||||
}
|
||||
|
||||
# Возврат 0 = не слать Telegram по logind (дубль с monitor_ssh): Type=ssh или Service=*sshd*.
|
||||
# Пустой ответ loginctl — короткие повторы (гонка с journal).
|
||||
logind_session_is_ssh_duplicate_for_notify() {
|
||||
@@ -1645,6 +1731,7 @@ monitor_logind() {
|
||||
msg="${msg}👤 Пользователь: ${user:-неизвестно}"$'\n'
|
||||
msg="${msg}🆔 Сессия: ${sid:-?}"$'\n'
|
||||
msg="${msg}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
|
||||
enrich_sac_logind_session_details "$sid"
|
||||
SAC_D_USER="${user:-}" \
|
||||
notify_or_sac "session.logind.new" "info" "Новая сессия logind" "${user:-?} sid=${sid:-?}" "$msg"
|
||||
write_log "LOGIND: новая сессия: ${line}"
|
||||
@@ -1678,7 +1765,7 @@ monitor_logind() {
|
||||
done <<<"$logind_lines"
|
||||
fi
|
||||
|
||||
echo "$current_time" >"$LAST_LOGIND_CHECK_FILE"
|
||||
write_state_file "$LAST_LOGIND_CHECK_FILE" "$current_time"
|
||||
}
|
||||
|
||||
# ============================================
|
||||
@@ -1740,7 +1827,8 @@ send_daily_report() {
|
||||
local active_sessions
|
||||
active_sessions=$(get_active_ssh_sessions)
|
||||
local active_count
|
||||
active_count=$(who 2>/dev/null | grep -c "." || echo "0")
|
||||
active_count=$(printf '%s' "$active_sessions" | grep -c '👤' || true)
|
||||
active_count=${active_count:-0}
|
||||
|
||||
local active_bans=0
|
||||
local ban_line
|
||||
@@ -1845,7 +1933,7 @@ PY
|
||||
notify_or_sac "report.daily.ssh" "info" "Ежедневный отчёт SSH" "$sac_summary" "$message" "$sac_details_json"
|
||||
write_log "Ежедневный отчет отправлен"
|
||||
|
||||
echo "$(report_date '+%F')" >"$LAST_REPORT_FILE"
|
||||
write_state_file "$LAST_REPORT_FILE" "$(report_date '+%F')"
|
||||
}
|
||||
|
||||
read_last_report_date() {
|
||||
@@ -1904,7 +1992,7 @@ send_heartbeat() {
|
||||
message="${message}🕐 Время: ${timestamp_human}"
|
||||
|
||||
notify_or_sac "agent.heartbeat" "info" "Heartbeat" "ssh-monitor alive" "$message"
|
||||
echo "$timestamp" >"$LAST_HEARTBEAT_FILE"
|
||||
write_state_file "$LAST_HEARTBEAT_FILE" "$timestamp"
|
||||
write_log "Heartbeat отправлен"
|
||||
}
|
||||
|
||||
@@ -1933,9 +2021,16 @@ write_health_and_metrics() {
|
||||
local ts
|
||||
ts=$(date '+%s')
|
||||
if [ -n "${HEALTHCHECK_STATUS_FILE:-}" ]; then
|
||||
mkdir -p "$(dirname "$HEALTHCHECK_STATUS_FILE")" 2>/dev/null || true
|
||||
printf '{"ts":%s,"hostname":"%s","dry_run":%s}\n' "$ts" "$(hostname | sed 's/"/\\"/g')" "$([[ "${DRY_RUN:-0}" = "1" ]] && echo true || echo false)" >"${HEALTHCHECK_STATUS_FILE}.tmp"
|
||||
mv "${HEALTHCHECK_STATUS_FILE}.tmp" "$HEALTHCHECK_STATUS_FILE" 2>/dev/null || true
|
||||
ssh_monitor_secure_dir "$(dirname "$HEALTHCHECK_STATUS_FILE")" 2>/dev/null || mkdir -p "$(dirname "$HEALTHCHECK_STATUS_FILE")" 2>/dev/null || true
|
||||
if command -v python3 >/dev/null 2>&1; then
|
||||
python3 -c 'import json,sys; print(json.dumps({"ts": int(sys.argv[1]), "hostname": sys.argv[2], "dry_run": sys.argv[3] == "1"}))' \
|
||||
"$ts" "$(hostname)" "${DRY_RUN:-0}" >"${HEALTHCHECK_STATUS_FILE}.tmp"
|
||||
ssh_monitor_secure_file "${HEALTHCHECK_STATUS_FILE}.tmp" 2>/dev/null || true
|
||||
mv "${HEALTHCHECK_STATUS_FILE}.tmp" "$HEALTHCHECK_STATUS_FILE" 2>/dev/null || true
|
||||
ssh_monitor_secure_file "$HEALTHCHECK_STATUS_FILE" 2>/dev/null || true
|
||||
else
|
||||
write_log "WARN: python3 недоступен — HEALTHCHECK_STATUS_FILE пропущен"
|
||||
fi
|
||||
fi
|
||||
if [ -n "${PROMETHEUS_TEXTFILE_DIR:-}" ]; then
|
||||
mkdir -p "$PROMETHEUS_TEXTFILE_DIR" 2>/dev/null || true
|
||||
@@ -1954,6 +2049,10 @@ write_health_and_metrics() {
|
||||
# ============================================
|
||||
|
||||
send_startup_notification() {
|
||||
if ssh_monitor_update_in_progress 2>/dev/null; then
|
||||
write_log "lifecycle startup: пропуск (идёт agent-update)"
|
||||
return 0
|
||||
fi
|
||||
local timestamp
|
||||
timestamp=$(notification_date '+%d.%m.%Y %H:%M:%S')
|
||||
local whitelist_count=$((${#WHITELIST_IPS[@]} + ${#WHITELIST_SUBNETS[@]}))
|
||||
@@ -1981,6 +2080,10 @@ send_startup_notification() {
|
||||
|
||||
send_shutdown_notification() {
|
||||
[ "${SHUTDOWN_NOTIFIED:-0}" = "1" ] && return 0
|
||||
if ssh_monitor_update_in_progress 2>/dev/null; then
|
||||
write_log "lifecycle shutdown: пропуск (идёт agent-update)"
|
||||
return 0
|
||||
fi
|
||||
SHUTDOWN_NOTIFIED=1
|
||||
|
||||
local timestamp
|
||||
@@ -2020,7 +2123,7 @@ main() {
|
||||
monitor_logind
|
||||
check_daily_report
|
||||
check_heartbeat
|
||||
sac_flush_spool 20 2>/dev/null || true
|
||||
sac_flush_spool "${SAC_SPOOL_FLUSH_MAX_FILES:-50}" 2>/dev/null || true
|
||||
write_health_and_metrics
|
||||
|
||||
local current_time
|
||||
@@ -2065,6 +2168,11 @@ run_check_config() {
|
||||
printf 'MAIL_SMTP_PASSWORD: %s\n' "$([ -n "${MAIL_SMTP_PASSWORD:-}" ] && echo задан || echo не задан)"
|
||||
printf 'UseSAC=%s SAC_URL=%s SAC_API_KEY=%s\n' "${UseSAC:-off}" "${SAC_URL:-}" \
|
||||
"$([ -n "${SAC_API_KEY:-}" ] && echo задан || echo не задан)"
|
||||
printf 'CONFIG_STRICT_PERMS=%s SAC_TLS_INSECURE=%s\n' "${CONFIG_STRICT_PERMS:-0}" "${SAC_TLS_INSECURE:-0}"
|
||||
if [ -n "${BACKUP_WEBHOOK_URL:-}" ]; then
|
||||
printf 'WARN: BACKUP_WEBHOOK_URL deprecated (legacy fallback); будет удалён в 2.3.x\n'
|
||||
fi
|
||||
ssh_monitor_audit_state_paths
|
||||
if bash -n "$0" 2>/dev/null; then
|
||||
printf 'bash -n: OK\n'
|
||||
else
|
||||
@@ -2106,7 +2214,7 @@ fi
|
||||
trap send_shutdown_notification EXIT INT TERM
|
||||
|
||||
mkdir -p "$(dirname "$LOG_FILE")"
|
||||
touch "$LOG_FILE"
|
||||
ssh_monitor_secure_file "$LOG_FILE" 2>/dev/null || touch "$LOG_FILE"
|
||||
|
||||
write_log "Конфигурация загружена из $CONFIG_FILE (или дефолты), версия ${SSH_MONITOR_VERSION:-?}, очередь оповещений: $(notify_chain_human)"
|
||||
if [ "${ENABLE_IP_BAN:-1}" = "1" ]; then
|
||||
|
||||
@@ -0,0 +1,223 @@
|
||||
#!/bin/bash
|
||||
# Path permission helpers for ssh-monitor, sac-client, watchdog, updater.
|
||||
# shellcheck shell=bash
|
||||
|
||||
ssh_monitor_config_peek() {
|
||||
local key="$1" file="$2" default="${3:-}"
|
||||
local line val
|
||||
[ -f "$file" ] || {
|
||||
printf '%s\n' "$default"
|
||||
return 0
|
||||
}
|
||||
line="$(grep -E "^[[:space:]]*${key}=" "$file" 2>/dev/null | tail -1)" || {
|
||||
printf '%s\n' "$default"
|
||||
return 0
|
||||
}
|
||||
val="${line#*=}"
|
||||
val="${val#"${val%%[![:space:]]*}"}"
|
||||
val="${val%"${val##*[![:space:]]}"}"
|
||||
val="${val#\"}"
|
||||
val="${val%\"}"
|
||||
val="${val#\'}"
|
||||
val="${val%\'}"
|
||||
printf '%s\n' "$val"
|
||||
}
|
||||
|
||||
ssh_monitor_truthy() {
|
||||
case "${1,,}" in
|
||||
1 | yes | true | on) return 0 ;;
|
||||
esac
|
||||
return 1
|
||||
}
|
||||
|
||||
ssh_monitor_path_mode() {
|
||||
local path="$1"
|
||||
[ -e "$path" ] || return 1
|
||||
stat -c '%a' "$path" 2>/dev/null || stat -f '%OLp' "$path" 2>/dev/null
|
||||
}
|
||||
|
||||
ssh_monitor_path_owner() {
|
||||
local path="$1"
|
||||
[ -e "$path" ] || return 1
|
||||
stat -c '%U:%G' "$path" 2>/dev/null
|
||||
}
|
||||
|
||||
ssh_monitor_is_root_owned() {
|
||||
local path="$1" own
|
||||
[ -e "$path" ] || return 0
|
||||
own="$(ssh_monitor_path_owner "$path" 2>/dev/null || true)"
|
||||
[ "$own" = "root:root" ]
|
||||
}
|
||||
|
||||
ssh_monitor_secure_dir() {
|
||||
local dir="$1"
|
||||
[ -n "$dir" ] || return 1
|
||||
mkdir -p "$dir" 2>/dev/null || return 1
|
||||
chmod 700 "$dir" 2>/dev/null || true
|
||||
chown root:root "$dir" 2>/dev/null || true
|
||||
}
|
||||
|
||||
ssh_monitor_secure_file() {
|
||||
local file="$1"
|
||||
local dir
|
||||
[ -n "$file" ] || return 1
|
||||
dir="$(dirname "$file")"
|
||||
ssh_monitor_secure_dir "$dir" || true
|
||||
if [ ! -f "$file" ]; then
|
||||
: >"$file" 2>/dev/null || touch "$file" 2>/dev/null || return 1
|
||||
fi
|
||||
chmod 600 "$file" 2>/dev/null || true
|
||||
chown root:root "$file" 2>/dev/null || true
|
||||
}
|
||||
|
||||
# Существующий файл или каталог: 600/700 root:root; для отсутствующего пути — только родительский каталог.
|
||||
ssh_monitor_harden_path() {
|
||||
local path="$1"
|
||||
[ -n "$path" ] || return 0
|
||||
if [ -d "$path" ]; then
|
||||
ssh_monitor_secure_dir "$path"
|
||||
elif [ -f "$path" ] || [ -L "$path" ]; then
|
||||
ssh_monitor_secure_file "$path"
|
||||
else
|
||||
local parent
|
||||
parent="$(dirname "$path")"
|
||||
[ -n "$parent" ] && [ "$parent" != "." ] && ssh_monitor_secure_dir "$parent"
|
||||
fi
|
||||
}
|
||||
|
||||
ssh_monitor_warn_path_perms() {
|
||||
local path="$1" kind="$2" max_mode="${3:-600}"
|
||||
local mode own msg
|
||||
[ -e "$path" ] || return 0
|
||||
if ! ssh_monitor_is_root_owned "$path"; then
|
||||
own="$(ssh_monitor_path_owner "$path" 2>/dev/null || echo '?')"
|
||||
msg="WARN: ${kind} ${path}: владелец ${own}, ожидается root:root"
|
||||
printf '%s\n' "$msg" >&2
|
||||
[ -n "${write_log:-}" ] && write_log "$msg" || true
|
||||
fi
|
||||
mode="$(ssh_monitor_path_mode "$path" 2>/dev/null || echo "")"
|
||||
if [ -n "$mode" ] && [ "$((10#$mode))" -gt "$((10#$max_mode))" ]; then
|
||||
msg="WARN: ${kind} ${path}: mode ${mode}, рекомендуется не шире ${max_mode}"
|
||||
printf '%s\n' "$msg" >&2
|
||||
[ -n "${write_log:-}" ] && write_log "$msg" || true
|
||||
fi
|
||||
}
|
||||
|
||||
ssh_monitor_check_config_file_perms() {
|
||||
local file="${1:-/etc/ssh-monitor.conf}"
|
||||
local strict="${2:-0}"
|
||||
local mode msg
|
||||
[ -f "$file" ] || return 0
|
||||
if ! ssh_monitor_is_root_owned "$file"; then
|
||||
msg="WARN: конфиг ${file}: владелец $(ssh_monitor_path_owner "$file" 2>/dev/null || echo '?'), ожидается root:root"
|
||||
printf '%s\n' "$msg" >&2
|
||||
[ -n "${write_log:-}" ] && write_log "$msg" || true
|
||||
if ssh_monitor_truthy "$strict"; then
|
||||
printf '%s\n' "CONFIG_STRICT_PERMS=1: исправьте владельца конфига (chown root:root ${file})" >&2
|
||||
return 1
|
||||
fi
|
||||
fi
|
||||
mode="$(ssh_monitor_path_mode "$file" 2>/dev/null || echo "")"
|
||||
case "$mode" in
|
||||
600 | 400) ;;
|
||||
*)
|
||||
msg="WARN: конфиг ${file}: mode ${mode:-?}, рекомендуется 600 или 400 (chmod 600 ${file})"
|
||||
printf '%s\n' "$msg" >&2
|
||||
[ -n "${write_log:-}" ] && write_log "$msg" || true
|
||||
if ssh_monitor_truthy "$strict"; then
|
||||
printf '%s\n' "CONFIG_STRICT_PERMS=1: ослабленные права конфига недопустимы" >&2
|
||||
return 1
|
||||
fi
|
||||
;;
|
||||
esac
|
||||
return 0
|
||||
}
|
||||
|
||||
# Подпись сервера в Telegram/webhook (как в ssh-monitor: SERVER_DISPLAY_NAME или hostname + IPv4).
|
||||
ssh_monitor_server_display_name_with_ip() {
|
||||
local hn ip
|
||||
hn="${SERVER_DISPLAY_NAME:-}"
|
||||
if [ -z "$hn" ]; then
|
||||
hn="$(hostname 2>/dev/null | tr -d '\r\n')"
|
||||
[ -z "$hn" ] && hn="(unknown)"
|
||||
fi
|
||||
ip="${SERVER_IPV4:-}"
|
||||
if [ -z "$ip" ] && command -v ip >/dev/null 2>&1; then
|
||||
ip="$(ip -4 route get 1.1.1.1 2>/dev/null | awk '/\bsrc\b/ {for (i = 1; i < NF; i++) if ($i == "src") { print $(i + 1); exit }}')"
|
||||
[ -z "$ip" ] && ip="$(ip -4 route get 8.8.8.8 2>/dev/null | awk '/\bsrc\b/ {for (i = 1; i < NF; i++) if ($i == "src") { print $(i + 1); exit }}')"
|
||||
fi
|
||||
if [ -z "$ip" ] && command -v hostname >/dev/null 2>&1 && hostname -I >/dev/null 2>&1; then
|
||||
ip="$(hostname -I 2>/dev/null | tr ' ' '\n' | grep -E '^[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+$' | grep -Ev '^(127\.|0\.0\.0\.0)$' | head -n1)"
|
||||
fi
|
||||
if [ -n "$ip" ]; then
|
||||
printf '%s (%s)' "$hn" "$ip"
|
||||
else
|
||||
printf '%s' "$hn"
|
||||
fi
|
||||
}
|
||||
|
||||
ssh_monitor_message_ensure_server_line() {
|
||||
local msg="$1"
|
||||
if [[ "$msg" == *'🖥️ Сервер:'* ]]; then
|
||||
printf '%s' "$msg"
|
||||
return 0
|
||||
fi
|
||||
local first rest
|
||||
first="${msg%%$'\n'*}"
|
||||
if [ "$first" = "$msg" ]; then
|
||||
printf '%s\n🖥️ Сервер: %s' "$first" "$(ssh_monitor_server_display_name_with_ip)"
|
||||
else
|
||||
rest="${msg#*$'\n'}"
|
||||
printf '%s\n🖥️ Сервер: %s\n%s' "$first" "$(ssh_monitor_server_display_name_with_ip)" "$rest"
|
||||
fi
|
||||
}
|
||||
|
||||
# Флаг штатного SAC/cron-update: подавляет lifecycle/watchdog Telegram на время прогона updater.
|
||||
SSH_MONITOR_UPDATE_STATE_DEFAULT="/var/lib/ssh-monitor/agent-update-in-progress"
|
||||
SSH_MONITOR_UPDATE_STATE_MAX_AGE_SEC="${SSH_MONITOR_UPDATE_STATE_MAX_AGE_SEC:-900}"
|
||||
|
||||
ssh_monitor_update_state_file() {
|
||||
printf '%s\n' "${SSH_MONITOR_UPDATE_STATE_FILE:-$SSH_MONITOR_UPDATE_STATE_DEFAULT}"
|
||||
}
|
||||
|
||||
ssh_monitor_update_in_progress() {
|
||||
local f ts now age
|
||||
f="$(ssh_monitor_update_state_file)"
|
||||
[ -f "$f" ] || return 1
|
||||
ts="$(tr -d '\r\n' <"$f" 2>/dev/null || true)"
|
||||
[[ "$ts" =~ ^[0-9]+$ ]] || return 1
|
||||
now=$(date '+%s')
|
||||
age=$((now - ts))
|
||||
[ "$age" -le "$SSH_MONITOR_UPDATE_STATE_MAX_AGE_SEC" ]
|
||||
}
|
||||
|
||||
ssh_monitor_update_mark_begin() {
|
||||
local f dir
|
||||
f="$(ssh_monitor_update_state_file)"
|
||||
dir="$(dirname "$f")"
|
||||
ssh_monitor_secure_dir "$dir" 2>/dev/null || mkdir -p "$dir" 2>/dev/null || true
|
||||
date '+%s' >"$f"
|
||||
ssh_monitor_secure_file "$f" 2>/dev/null || chmod 600 "$f" 2>/dev/null || true
|
||||
}
|
||||
|
||||
ssh_monitor_update_mark_end() {
|
||||
local f
|
||||
f="$(ssh_monitor_update_state_file)"
|
||||
rm -f "$f" 2>/dev/null || true
|
||||
}
|
||||
|
||||
# SAC/cron update: не слать sudo-alert на штатные команды updater/bootstrap.
|
||||
ssh_monitor_sudo_is_sac_maintenance() {
|
||||
local cmd="$1"
|
||||
[ -n "$cmd" ] || return 1
|
||||
if ssh_monitor_update_in_progress 2>/dev/null; then
|
||||
return 0
|
||||
fi
|
||||
case "$cmd" in
|
||||
*update_ssh_monitor.sh* | *UPDATE_VIA_SAC* | *update_script.log* | \
|
||||
*"/opt/scripts/update"*"ssh-monitor"* | *agent-update-in-progress*)
|
||||
return 0
|
||||
;;
|
||||
esac
|
||||
return 1
|
||||
}
|
||||
@@ -3,6 +3,11 @@ set -Eeuo pipefail
|
||||
IFS=$'\n\t'
|
||||
|
||||
CONFIG_FILE="/etc/ssh-monitor.conf"
|
||||
SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
|
||||
if [ -f "$SCRIPT_DIR/ssh-monitor-perms.sh" ]; then
|
||||
# shellcheck source=ssh-monitor-perms.sh
|
||||
source "$SCRIPT_DIR/ssh-monitor-perms.sh"
|
||||
fi
|
||||
WATCHDOG_LOG_FILE="/var/log/ssh_monitor_watchdog.log"
|
||||
LAST_HEARTBEAT_FILE="/var/log/last_heartbeat.txt"
|
||||
WATCHDOG_MAX_HEARTBEAT_AGE=18000
|
||||
@@ -62,6 +67,7 @@ PY
|
||||
|
||||
notify_send() {
|
||||
local message="$1"
|
||||
message="$(ssh_monitor_message_ensure_server_line "$message")"
|
||||
if send_telegram_raw "$message"; then
|
||||
return 0
|
||||
fi
|
||||
@@ -75,9 +81,15 @@ notify_send() {
|
||||
|
||||
load_config() {
|
||||
if [ -f "$CONFIG_FILE" ]; then
|
||||
local _strict_peek
|
||||
_strict_peek="$(ssh_monitor_config_peek CONFIG_STRICT_PERMS "$CONFIG_FILE" "0")"
|
||||
ssh_monitor_check_config_file_perms "$CONFIG_FILE" "$_strict_peek" || true
|
||||
# shellcheck disable=SC1090
|
||||
source "$CONFIG_FILE"
|
||||
fi
|
||||
if [ -n "${BACKUP_WEBHOOK_URL:-}" ]; then
|
||||
write_log "WARN: BACKUP_WEBHOOK_URL deprecated (legacy fallback); будет удалён в 2.3.x"
|
||||
fi
|
||||
}
|
||||
|
||||
is_service_active() {
|
||||
@@ -130,6 +142,11 @@ main() {
|
||||
mkdir -p "$(dirname "$WATCHDOG_LOG_FILE")"
|
||||
touch "$WATCHDOG_LOG_FILE"
|
||||
|
||||
if ssh_monitor_update_in_progress 2>/dev/null; then
|
||||
write_log "Watchdog: пропуск — идёт agent-update (state file)"
|
||||
exit 0
|
||||
fi
|
||||
|
||||
local reason=""
|
||||
if ! is_service_active; then
|
||||
reason="systemd reported inactive service"
|
||||
|
||||
@@ -2,11 +2,8 @@
|
||||
TELEGRAM_BOT_TOKEN="8239219522:AAEyOZX3cwNfgGOMDkf-mgjTIuoaOh5gF7I"
|
||||
TELEGRAM_CHAT_ID="2843230"
|
||||
|
||||
# Резервный webhook, если ВСЕ каналы из NOTIFY_CHAIN не смогли доставить сообщение (JSON {"text":"..."}).
|
||||
# ВАЖНО: BACKUP_WEBHOOK_URL НЕ заменяет основной канал — без хотя бы одного из telegram/email
|
||||
# скрипт сразу завершится с ошибкой в stderr: «Не настроен ни один канал отправки оповещений» (код 1),
|
||||
# в том числе при --check-config и --dry-run. Сначала настройте Telegram или SMTP ниже.
|
||||
BACKUP_WEBHOOK_URL=""
|
||||
# DEPRECATED: legacy fallback webhook (Slack/Discord). Не используется в типовом деплое; удаление в 2.3.x.
|
||||
# BACKUP_WEBHOOK_URL=""
|
||||
|
||||
# --- Очередь оповещений (NOTIFY_ORDER) ---
|
||||
# CSV: telegram, email (или сокращения tg, mail).
|
||||
@@ -35,7 +32,14 @@ SAC_API_KEY="sac_UkOsAT3UWiQS54KK5OJPBDCSucysQDrKFju28wmYiz8"
|
||||
SAC_SPOOL_DIR="/var/lib/ssh-monitor/sac-spool"
|
||||
SAC_FAIL_COUNT_FILE="/var/lib/ssh-monitor/sac-fail.count"
|
||||
SAC_FALLBACK_FAILURES="5"
|
||||
SAC_TIMEOUT_SEC="12"
|
||||
SAC_TIMEOUT_SEC="45"
|
||||
SAC_SPOOL_FLUSH_MAX_FILES="50"
|
||||
SAC_SPOOL_MAX_AGE_HOURS="72"
|
||||
|
||||
# 0 = проверять TLS SAC (рекомендуется). 1 = curl -k (только lab; CRITICAL в логе).
|
||||
SAC_TLS_INSECURE="0"
|
||||
# 0 = WARN при chmod конфига != 600. 1 = exit 1 при ослабленных правах /etc/ssh-monitor.conf.
|
||||
CONFIG_STRICT_PERMS="0"
|
||||
|
||||
# SMTP (python3). Для авто-режима почты нужны MAIL_SMTP_HOST, MAIL_FROM, MAIL_TO.
|
||||
MAIL_SMTP_HOST=""
|
||||
@@ -104,6 +108,14 @@ PROMETHEUS_TEXTFILE_DIR=""
|
||||
# JSON-снимок состояния на каждой итерации (timestamp, hostname, dry_run). Пусто — отключено.
|
||||
HEALTHCHECK_STATUS_FILE=""
|
||||
|
||||
# --- Автообновление (update_ssh_monitor.sh; читается updater'ом, не агентом) ---
|
||||
# Пусто = ветка GIT_BRANCH (main). Для прода рекомендуется тег релиза, напр. 2.2.0-SAC.
|
||||
# GIT_REF="2.2.0-SAC"
|
||||
# off | tag | commit — см. docs/auto-update.ru.md. Дефолт в скрипте: off (совместимость).
|
||||
# GIT_VERIFY_MODE="tag"
|
||||
# 1 = разрешить git reset --hard при расхождении истории (только ручной/CI; риск).
|
||||
# GIT_ALLOW_RESET="0"
|
||||
|
||||
# Порог устаревания heartbeat для watchdog (сек): интервал + 1 ч запас (240 мин → 18000).
|
||||
WATCHDOG_MAX_HEARTBEAT_AGE="18000"
|
||||
WATCHDOG_LOG_FILE="/var/log/ssh_monitor_watchdog.log"
|
||||
|
||||
+678
-115
File diff suppressed because it is too large
Load Diff
+1
-1
@@ -1 +1 @@
|
||||
2.1.0-SAC
|
||||
2.2.3-SAC
|
||||
|
||||
Reference in New Issue
Block a user