chore: add .cursorignore to gitignore

Co-authored-by: Cursor <cursoragent@cursor.com>

.gitignore

@@ -1,7 +1,8 @@
 .DS_Store
 CalculatorApp/
+.cursor/
 
-# .env — не коммитить; ssh-monitor.conf с секретами допустим только на git.kalinamall.ru
+# .env — не коммитить; ssh-monitor.conf с секретами допустим только в закрытом зеркале (не в публичном GitHub)
 .env
 .env.*
 # Артефакты локальной сборки (релизные архивы грузятся в GitHub Releases, в git не коммитим)
@@ -10,3 +11,4 @@ ssh-monitor-*.tar.gz
 # Локальный загрузчик Rutube / yt-dlp — живёт в другом репозитории
 rutube-download.py
 .ytdl-archive.txt
+.cursorignore

README.md

@@ -1,6 +1,10 @@
-# ssh-monitor
+# ssh-monitor
 
-Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`systemd-logind`** (локальные/графические сессии и др.) с уведомлениями в **Telegram** и по **электронной почте (SMTP)**, опциональным резервным webhook, авто-блокировкой IP (**ipset** + **iptables** / **ip6tables**: наборы `hash:ip` с таймаутом, одно правило `-m set`; нюансы — **`IPSET-NOTES.txt`**) и ежедневным отчётом.
+**Версия:** `2.1.0-SAC`
+
+Bash-мониторинг **SSH**, **sudo**, **systemd-logind**: Telegram/email, бан IP (ipset), ежедневный отчёт, heartbeat.
+
+**Security Alert Center:** модуль **`sac-client.sh`**, режим `UseSAC` (`off` | `exclusive` | `dual` | `fallback`) — [контракт SAC](https://git.kalinamall.ru/PapaTramp/security-alert-center/src/branch/main/docs/agent-integration.md). Обновление с хоста: `update_ssh_monitor.sh` или кнопка в SAC (SSH bootstrap).
 
 ## Состав репозитория
 
@@ -8,13 +12,13 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
 |------|------------|
 | **`ssh-monitor`** | Основной цикл: разбор журналов (**journalctl**: sshd, sudo, «тяжёлые» события, **systemd-logind**), цепочка уведомлений (Telegram, SMTP через **python3**, резервный webhook), при **`ENABLE_IP_BAN=1`** — учёт неудачных попыток, бан в **ipset** и согласование с **iptables**/**ip6tables**, ежедневный отчёт, heartbeat, опционально **Prometheus** textfile и JSON health. Режимы: **`--check-config`**, **`--dry-run`**. |
 | **`ssh-monitor-watchdog`** | Отдельный скрипт (обычно по **systemd timer**): проверяет, что сервис монитора активен и файл heartbeat не старше порога; при сбое выполняет **`systemctl restart`** и шлёт уведомление в Telegram или в **`BACKUP_WEBHOOK_URL`**. Читает те же `TELEGRAM_*` / webhook из `/etc/ssh-monitor.conf`. |
-| **`update_ssh_monitor.sh`** | Опциональное автообновление: `git pull` / `clone`, сравнение SHA256 с `/usr/local/bin/ssh-monitor`, перезапуск `ssh-monitor.service`. См. [docs/auto-update.ru.md](docs/auto-update.ru.md). |
+| **`update_ssh_monitor.sh`** | Опциональное автообновление: `git pull` / `clone`, сравнение SHA256 с `/usr/local/bin/ssh-monitor`, синхронизация **`sac-client.sh`** рядом с монитором, перезапуск `ssh-monitor.service`. См. [docs/auto-update.ru.md](docs/auto-update.ru.md). |
 
 **Системные пакеты и зависимости** (что поставить на сервер до запуска): пошагово в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 
 ## Конфигурация
 
-> **git.kalinamall.ru:** в этом закрытом репозитории допустимо хранить **`ssh-monitor.conf`** с боевыми токенами и паролями (файл не в `.gitignore`). В публичном [GitHub](https://github.com/PTah/ssh-monitor) такой файл игнорируется — используйте только `ssh-monitor.conf.example`.
+> **Закрытый инстанс Gitea:** в доверенном закрытом репозитории допустимо хранить **`ssh-monitor.conf`** с боевыми токенами (файл не в `.gitignore`). В публичном [GitHub](https://git.kalinamall.ru/PapaTramp/ssh-monitor) такой файл игнорируется — используйте только `ssh-monitor.conf.example`.
 
 Скрипт читает параметры из `/etc/ssh-monitor.conf` в формате `KEY="value"`.
 
@@ -36,7 +40,7 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
 - `BACKUP_WEBHOOK_URL` — резервная доставка JSON `{"text":"..."}` (например Slack Incoming Webhook), если **все** каналы из **`NOTIFY_CHAIN`** не смогли доставить сообщение; **не заменяет** обязательность хотя бы одного основного канала (см. шаг 3)
 - `LOG_FILE`, `LAST_HEARTBEAT_FILE`, `LAST_REPORT_FILE`, `LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_SECURITY_EVENTS_FILE`, `LAST_LOGIND_CHECK_FILE`, `BAN_LIST_FILE`
 - `ENABLE_LOGIND_MONITOR`, `LOGIND_NOTIFY_NEW`, `LOGIND_NOTIFY_REMOVED`, `LOGIND_NOTIFY_FAILED`, `LOGIND_SKIP_REMOTE` — см. раздел «Мониторинг systemd-logind» ниже
-- `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_TZ` (опционально), `NOTIFY_TZ` (опционально), `SERVER_DISPLAY_NAME` (опционально), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
+- `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_ENABLED` (1/0 — отчёт с агента; 0 = только SAC), `DAILY_REPORT_TZ` (опционально), `NOTIFY_TZ` (опционально), `SERVER_DISPLAY_NAME` (опционально), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
 - `BRUTE_WINDOW_SEC`, `BRUTE_MIN_FAILS`, `BRUTE_NOTIFY_COOLDOWN_SEC`
 - `PROMETHEUS_TEXTFILE_DIR` — каталог для `ssh_monitor.prom` (совместимость с node_exporter textfile collector)
 - `HEALTHCHECK_STATUS_FILE` — путь к JSON-файлу с меткой последней итерации цикла
@@ -68,9 +72,11 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
 - `LOGIND_NOTIFY_FAILED` — `1` отправлять Telegram по строкам logind, содержащим *failed* (широкий фильтр; при необходимости отключите).
 - `LOGIND_SKIP_REMOTE` — `1` (по умолчанию): для новой сессии logind, если доступен `loginctl`, не отправляется второе Telegram, если сессия уже учтена в **`monitor_ssh`**: при **`Type=ssh`** или если **`Service`** указывает на **sshd** (часто **`Type=tty` + `Service=sshd`**); при пустом ответе `loginctl` делаются короткие повторы. Поставьте `0`, если нужны отдельные алерты logind и для SSH-сессий.
 - `DAILY_REPORT_HOUR` — час (0..23), после наступления которого в **текущих календарных сутках** (в выбранной ниже зоне) отправляется не более одного ежедневного отчёта.
+- `DAILY_REPORT_ENABLED` — `1` (по умолчанию) отправлять `report.daily.ssh` с агента; **`0`** — не слать (суточный отчёт формирует только SAC, см. `SAC_DAILY_REPORT_*`).
 - `DAILY_REPORT_TZ` — необязательная **IANA**-зона (`Europe/Moscow`, `Asia/Yekaterinburg`, …). Если **пусто**, для отчёта используется та же зона, что и у команды `date` у процесса монитора (как правило, совпадает с `timedatectl` / `/etc/localtime` на сервере). Если сервис запускается с `TZ=UTC` в unit-файле, без `DAILY_REPORT_TZ` отчёт ориентируется на **UTC** — тогда задайте явную зону в конфиге.
 - `NOTIFY_TZ` — **IANA**-зона для строк **«🕐 Время»** в Telegram/email (и аналогичных текстах). **Пусто** — используется **`DAILY_REPORT_TZ`**, если она задана, иначе зона процесса. Частая причина «время в теле сообщения UTC, а в заголовке чата локальное»: в **`ssh-monitor.service`** задано **`Environment=TZ=UTC`** — тогда задайте **`NOTIFY_TZ`** (или **`DAILY_REPORT_TZ`**) на вашу локаль, например `Asia/Vladivostok`.
 - `SERVER_DISPLAY_NAME` — подпись в строке **«🖥️ Сервер»** во всех уведомлениях. **Пусто** — `hostname` и при возможности основной IPv4 (`hostname (10.x.x.x)`). Задайте явное имя, если несколько хостов с одинаковым hostname шлют в один чат. Подробнее: [docs/notifications.ru.md](docs/notifications.ru.md).
+- `SERVER_IPV4` — опциональный override для SAC `host.ipv4`. Если пусто, IPv4 определяется автоматически.
 - `SSH_ACCEPT_NOTIFY_DEDUP_SEC` — не чаще одного Telegram по **успешному SSH (`Accepted`)** на одну пару **пользователь + IP** за указанное число **секунд** (по умолчанию **5**). Снимает дубли, когда в journal две строки с **разными портами клиента** за один вход. **`0`** — отключить этот антидубль (останется только дедупликация внутри одного прохода `monitor_ssh` по `user|ip|port`).
 - `DAILY_REPORT_TOP_IPS` — сколько IP показывать в топе неудачных попыток за 24 часа.
 - `BRUTE_WINDOW_SEC` — окно (секунды) для оценки «массового» брутфорса по `journalctl`.
@@ -123,7 +129,7 @@ Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`
 
 ### Автообновление скрипта
 
-Скрипт **`update_ssh_monitor.sh`** по расписанию (cron или systemd timer) выполняет `git pull` / `clone`, сравнивает SHA256 с `/usr/local/bin/ssh-monitor` и при отличии копирует новую версию и перезапускает **`ssh-monitor.service`**. Конфиг **`/etc/ssh-monitor.conf`** не трогается.
+Скрипт **`update_ssh_monitor.sh`** по расписанию (cron или systemd timer) выполняет `git pull` / `clone`, сравнивает SHA256 с `/usr/local/bin/ssh-monitor`, **всегда** подтягивает **`/usr/local/bin/sac-client.sh`** и при изменении любого из файлов перезапускает **`ssh-monitor.service`**. Конфиг **`/etc/ssh-monitor.conf`** не трогается.
 
 Пошаговая настройка: [docs/auto-update.ru.md](docs/auto-update.ru.md).
 
@@ -155,22 +161,34 @@ bash -n ./ssh-monitor
 
 ## Релизный архив
 
-Версия задаётся в скрипте переменной **`SSH_MONITOR_VERSION`** (на момент последнего обновления документации — **1.1.3-server-label**; актуальное значение смотрите в файле **`ssh-monitor`**). Сборка tarball из текущего git-дерева:
+Версия задаётся в **`SSH_MONITOR_VERSION`** в файле **`ssh-monitor`** и дублируется в **`version.txt`** (сейчас **2.1.0-SAC**). Модуль **`sac-client.sh`** использует ту же версию для SAC `product_version`. Сборка tarball из текущего git-дерева:
 
 ```bash
 make dist
 ```
 
-Появится файл `ssh-monitor-<версия>.tar.gz` (через `git archive`). Готовые архивы для установки без клона репозитория прикладываются к [релизам на GitHub](https://github.com/PTah/ssh-monitor/releases).
+Появится файл `ssh-monitor-<версия>.tar.gz` (через `git archive`). Готовые архивы для установки без клона репозитория прикладываются к [релизам на GitHub](https://git.kalinamall.ru/PapaTramp/ssh-monitor/releases).
 
 ## Установка скрипта, конфигурации и systemd
 
+### Автоматическая установка (рекомендуется)
+
+```bash
+sudo ./first_deploy.sh
+# или: sudo ./update_ssh_monitor.sh --deploy
+```
+
+См. [docs/auto-update.ru.md](docs/auto-update.ru.md) — клон из git, копирование в `/usr/local/bin/`, `sac-client.sh`, пример `/etc/ssh-monitor.conf`, unit systemd.
+
+### Ручная установка
+
 1. Скопируйте скрипт в постоянное место:
    - `sudo install -m 750 ./ssh-monitor /usr/local/bin/ssh-monitor`
+   - `sudo install -m 644 ./sac-client.sh /usr/local/bin/sac-client.sh`
 2. Убедитесь, что конфиг создан (см. раздел **«Конфигурация»** выше):
    - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
    - `sudo chmod 600 /etc/ssh-monitor.conf`
-3. Создайте unit-файл `/etc/systemd/system/ssh-monitor.service`:
+3. Создайте unit-файл `/etc/systemd/system/ssh-monitor.service` (или `sudo cp ssh-monitor.service.example ...`):
 
 ```ini
 [Unit]

docs/auto-update.ru.md

@@ -13,20 +13,25 @@
    - `$UPDATE_DIR/ssh-monitor/src/branch/main/ssh-monitor` (структура GitLab);
    - `$UPDATE_DIR/ssh-monitor/ssh-monitor` (плоский репозиторий, как в этом проекте).
 5. Сравнивает **SHA256** удалённого файла с **`LOCAL_SCRIPT_PATH`** (по умолчанию `/usr/local/bin/ssh-monitor`).
-6. При отличии:
-   - резервная копия `ssh-monitor.backup.YYYYMMDD_HHMMSS`;
-   - `cp` + `chmod +x`;
+6. **Всегда** (независимо от шага 5) синхронизирует **`sac-client.sh`** в каталог рядом с монитором (по умолчанию **`/usr/local/bin/sac-client.sh`**) — нужен для **`UseSAC`** и **`--check-sac`**.
+7. При отличии checksum **`ssh-monitor`** и/или **`sac-client.sh`**:
+   - резервная копия `ssh-monitor.backup.YYYYMMDD_HHMMSS` (только для основного скрипта);
+   - `cp` + `chmod +x` для `ssh-monitor`, `chmod 644` для `sac-client.sh`;
    - **`systemctl restart ssh-monitor.service`** (если есть systemctl).
-7. Пишет лог в **`LOG_FILE`** (по умолчанию `/var/log/update_script.log`).
+8. Пишет лог в **`LOG_FILE`** (по умолчанию `/var/log/update_script.log`).
 
 ```mermaid
 flowchart LR
   A[cron/timer] --> B[update_ssh_monitor.sh]
   B --> C[git pull/clone]
-  C --> D{SHA256 различается?}
-  D -->|да| E[backup + cp]
-  E --> F[restart ssh-monitor.service]
-  D -->|нет| G[без изменений]
+  C --> D[sync sac-client.sh]
+  C --> E{SHA256 ssh-monitor?}
+  D --> F{что-то обновилось?}
+  E -->|да| G[backup + cp ssh-monitor]
+  E -->|нет| F
+  G --> F
+  F -->|да| H[restart ssh-monitor.service]
+  F -->|нет| I[без изменений]
 ```
 
 ## Настройка перед первым запуском
@@ -36,7 +41,7 @@ flowchart LR
 | Переменная | По умолчанию | Назначение |
 |------------|--------------|------------|
 | `UPDATE_DIR` | `/opt/scripts/update` | Каталог для git-клона |
-| `REPO_URL` | `https://git.kalinamall.ru/PapaTramp/ssh-monitor.git` | URL закрытого репозитория (на GitHub в репо — placeholder) |
+| `REPO_URL` | `https://git.kalinamall.ru/PapaTramp/ssh-monitor.git` | URL репозитория (на закрытом зеркале — URL своего Gitea) |
 | `LOCAL_SCRIPT_PATH` | `/usr/local/bin/ssh-monitor` | Куда копировать бинарник |
 | `LOG_FILE` | `/var/log/update_script.log` | Лог обновлений |
 | `DEBUG` | `0` | `1` — подробный DEBUG в лог |
@@ -47,7 +52,29 @@ flowchart LR
 - **git** и сетевой доступ к репозиторию (SSH-ключ или HTTPS);
 - ветка в скрипте жёстко **`main`** — при другой ветке измените `git pull` в файле.
 
-## Установка
+## Первичная установка (--deploy)
+
+Один сценарий для нового сервера (клон git, `ssh-monitor`, `sac-client.sh`, пример конфига, systemd unit):
+
+```bash
+cd /path/to/ssh-monitor   # или curl/clone репозитория
+sudo ./first_deploy.sh
+# то же самое:
+sudo ./update_ssh_monitor.sh --deploy
+```
+
+Скрипт выводит в консоль, **куда что скопировано**, и список переменных для **`/etc/ssh-monitor.conf`**. Существующий конфиг **не перезаписывается**.
+
+После установки отредактируйте конфиг и проверьте:
+
+```bash
+sudo nano /etc/ssh-monitor.conf
+sudo /usr/local/bin/ssh-monitor --check-config
+sudo /usr/local/bin/ssh-monitor --check-sac
+sudo systemctl restart ssh-monitor.service
+```
+
+## Установка updater (для последующих обновлений)
 
 ```bash
 sudo mkdir -p /opt/scripts
@@ -119,8 +146,27 @@ sudo cp /usr/local/bin/ssh-monitor.backup.YYYYMMDD_HHMMSS /usr/local/bin/ssh-mon
 sudo systemctl restart ssh-monitor.service
 ```
 
+## Лог и диагностика «мгновенного» завершения
+
+Все шаги пишутся в **`/var/log/update_script.log`**. При обычном запуске те же строки дублируются в stdout (кроме **`--quiet`**).
+
+В конце каждого прогона — блок **«Итог обновления»**: статус `ssh-monitor` / `sac-client` / git / перезапуск и **причина**, если файлы не копировались (checksum совпал, git pull failed, скрипт не найден в клоне).
+
+```bash
+sudo /opt/scripts/update_ssh_monitor.sh
+sudo tail -40 /var/log/update_script.log
+```
+
+**Важно:** после `git pull` в клоне скрипт **сам обновляет** `/opt/scripts/update_ssh_monitor.sh` из репозитория и один раз перезапускает себя (если вызывали именно этот путь). Если в логе старые строки вроде `Checksums match` без блока «Итог обновления» — на сервере ещё старая копия updater; один раз:
+
+```bash
+sudo cp /opt/scripts/update/ssh-monitor/update_ssh_monitor.sh /opt/scripts/update_ssh_monitor.sh
+sudo chmod 750 /opt/scripts/update_ssh_monitor.sh
+sudo /opt/scripts/update_ssh_monitor.sh
+```
+
 ## Ограничения
 
 - Обновляется **только** файл **`ssh-monitor`**, не конфиг и не watchdog.
 - При недоступном git **`git pull`** пишет предупреждение и продолжает с локальной копией.
-- На **git.kalinamall.ru** в `update_ssh_monitor.sh` уже задан внутренний **`REPO_URL`**; на GitHub остаётся placeholder для форка.
+- На **закрытом зеркале** в `update_ssh_monitor.sh` задайте **`REPO_URL`** своего Gitea; в публичном GitHub по умолчанию — `git.kalinamall.ru/PapaTramp/ssh-monitor`.

first_deploy.sh

@@ -0,0 +1,5 @@
+#!/bin/bash
+# Первичная установка ssh-monitor — обёртка над update_ssh_monitor.sh --deploy
+set -euo pipefail
+SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+exec "$SCRIPT_DIR/update_ssh_monitor.sh" --deploy "$@"

readme_eng.md

@@ -1,4 +1,4 @@
-# ssh-monitor
+# ssh-monitor
 
 Bash script that monitors **SSH**, **SUDO**, and **`systemd-logind`** events (local/graphical sessions, etc.), sends alerts via **Telegram** and **SMTP email**, optional backup webhook, automatic IP blocking (**ipset** + **iptables** / **ip6tables**: `hash:ip` sets with timeout, single `-m set` rule; details in **`IPSET-NOTES.txt`**), and a daily report.
 
@@ -69,6 +69,7 @@ If `/etc/ssh-monitor.conf` is missing or some values are empty, script defaults
 - `DAILY_REPORT_TZ` — optional **IANA** zone (`Europe/Moscow`, …). If **empty**, report uses the monitor process zone (usually matches `timedatectl` / `/etc/localtime`). If the unit sets `TZ=UTC`, without `DAILY_REPORT_TZ` the report uses **UTC** — set an explicit zone in config.
 - `NOTIFY_TZ` — **IANA** zone for **«🕐 Время»** lines in Telegram/email. **Empty** — use **`DAILY_REPORT_TZ`** if set, else process zone. Common mismatch: **`ssh-monitor.service`** has **`Environment=TZ=UTC`** — set **`NOTIFY_TZ`** or **`DAILY_REPORT_TZ`** to your locale, e.g. `Asia/Vladivostok`.
 - `SERVER_DISPLAY_NAME` — label in **«🖥️ Server»** line on every alert. **Empty** — `hostname` plus primary IPv4 when available. Set a fixed name when many hosts share one Telegram chat. Details: [docs/notifications.ru.md](docs/notifications.ru.md) (Russian).
+- `SERVER_IPV4` — optional override for SAC `host.ipv4`. If empty, the script auto-detects host IPv4.
 - `SSH_ACCEPT_NOTIFY_DEDUP_SEC` — at most one Telegram per successful SSH (**Accepted**) per **user + IP** pair within **N** seconds (default **5**). Removes duplicates when journal has two lines with **different client ports** for one login. **`0`** disables this cross-iteration dedup (in-pass dedup by `user|ip|port` remains).
 - `DAILY_REPORT_TOP_IPS` — how many IPs in the failed-attempts top for 24 hours.
 - `BRUTE_WINDOW_SEC` — window (seconds) for “mass” brute-force evaluation via `journalctl`.
@@ -153,13 +154,13 @@ bash -n ./ssh-monitor
 
 ## Release tarball
 
-Version is set in the script as **`SSH_MONITOR_VERSION`** (as of last doc update — **1.1.3-server-label**; see the **`ssh-monitor`** file for the current value). Build from the git tree:
+Version is set as **`SSH_MONITOR_VERSION`** in **`ssh-monitor`** and **`version.txt`** (currently **2.1.0-SAC**). **`sac-client.sh`** reports the same version to SAC. Build from the git tree:
 
 ```bash
 make dist
 ```
 
-Produces `ssh-monitor-<version>.tar.gz` (via `git archive`). Prebuilt archives are attached to [GitHub releases](https://github.com/PTah/ssh-monitor/releases).
+Produces `ssh-monitor-<version>.tar.gz` (via `git archive`). Prebuilt archives are attached to [GitHub releases](https://git.kalinamall.ru/PapaTramp/ssh-monitor/releases).
 
 ## Installing the script, config, and systemd
 

sac-client.sh

@@ -0,0 +1,448 @@
+# SAC client for ssh-monitor (source from ssh-monitor)
+# Версия для SAC = SSH_MONITOR_VERSION в ssh-monitor (отдельный номер здесь не задаётся).
+# shellcheck shell=bash
+
+sac_normalize_mode() {
+ printf '%s' "${1:-off}" | tr '[:upper:]' '[:lower:]'
+}
+
+sac_is_configured() {
+ [ -n "${SAC_URL:-}" ] && [ -n "${SAC_API_KEY:-}" ]
+}
+
+sac_base_url() {
+ local url="${SAC_URL%/}"
+ case "$url" in
+ */api/v1/events) url="${url%/api/v1/events}" ;;
+ esac
+ printf '%s' "${url%/}"
+}
+
+# URL ingest (POST): всегда .../api/v1/events, даже если в конфиге указан только хост
+sac_ingest_url() {
+ local base
+ base="$(sac_base_url)"
+ [ -n "$base" ] || return 1
+ printf '%s/api/v1/events' "$base"
+}
+
+sac_agent_instance_id() {
+ local id_file="${SAC_AGENT_ID_FILE:-/var/lib/ssh-monitor/agent_instance_id}"
+ local dir
+ dir="$(dirname "$id_file")"
+ if [ ! -d "$dir" ]; then
+ mkdir -p "$dir" 2>/dev/null || id_file="/tmp/ssh-monitor-agent_instance_id"
+ fi
+ if [ -f "$id_file" ]; then
+ cat "$id_file"
+ return 0
+ fi
+ local new_id
+ new_id="$(python3 -c 'import uuid; print(uuid.uuid4())')"
+ printf '%s\n' "$new_id" >"$id_file" 2>/dev/null || true
+ printf '%s' "$new_id"
+}
+
+sac_check_health() {
+ local base code
+ base="$(sac_base_url)"
+ [ -n "$base" ] || return 1
+ if [ "${DRY_RUN:-0}" = "1" ]; then
+ return 0
+ fi
+ code="$(curl -sS -o /dev/null -w '%{http_code}' \
+  --connect-timeout "${SAC_TIMEOUT_SEC:-12}" \
+  --max-time "${SAC_TIMEOUT_SEC:-12}" \
+  "${base}/health" || echo 000)"
+ [ "$code" = "200" ]
+}
+
+sac_spool_write() {
+ local event_id="$1"
+ local body="$2"
+ local dir="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
+ mkdir -p "$dir" 2>/dev/null || return 1
+ printf '%s' "$body" >"${dir}/${event_id}.json"
+}
+
+sac_spool_remove() {
+ local event_id="$1"
+ local dir="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
+ rm -f "${dir}/${event_id}.json"
+}
+
+sac_fail_count_file() {
+ printf '%s' "${SAC_FAIL_COUNT_FILE:-/var/lib/ssh-monitor/sac-fail.count}"
+}
+
+sac_read_fail_count() {
+ local f
+ f="$(sac_fail_count_file)"
+ if [ -f "$f" ]; then
+ cat "$f" 2>/dev/null | tr -dc '0-9'
+ else
+ printf '0'
+ fi
+}
+
+sac_write_fail_count() {
+ local n="$1"
+ local f
+ f="$(sac_fail_count_file)"
+ mkdir -p "$(dirname "$f")" 2>/dev/null || true
+ printf '%s' "$n" >"$f"
+}
+
+sac_reset_fail_count() {
+ sac_write_fail_count 0
+}
+
+sac_increment_fail_count() {
+ local n max
+ max="${SAC_FALLBACK_FAILURES:-5}"
+ n="$(sac_read_fail_count)"
+ n=$((n + 1))
+ sac_write_fail_count "$n"
+ [ "$n" -ge "$max" ]
+}
+
+# В fallback: после N подряд ошибок POST не дергать SAC, пока /health снова не OK.
+sac_should_attempt_send() {
+ local mode
+ mode="$(sac_normalize_mode "${UseSAC:-off}")"
+ [ "$mode" = "fallback" ] || return 0
+ local max n
+ max="${SAC_FALLBACK_FAILURES:-5}"
+ n="$(sac_read_fail_count)"
+ [ "$n" -lt "$max" ] && return 0
+ if sac_check_health; then
+ sac_reset_fail_count
+ write_log "SAC: /health восстановлен, снова отправляем в SAC (fallback)"
+ return 0
+ fi
+ write_log "WARN: SAC fallback: пропуск POST ($n>=$max сбоев подряд), только локальные каналы"
+ return 1
+}
+
+# POST готового JSON (ingest / повтор из spool). Возврат 0 при HTTP 201, 409 или 202 (legacy).
+sac_post_payload() {
+ local payload="$1"
+ local event_id http_code tmp resp event_type
+
+ if ! sac_is_configured; then
+ return 1
+ fi
+ if [ "${DRY_RUN:-0}" = "1" ]; then
+ printf '[DRY-RUN SAC POST] %s\n' "$(printf '%s' "$payload" | head -c 120)" >&2
+ return 0
+ fi
+
+ if ! sac_should_attempt_send; then
+ return 1
+ fi
+
+ event_id="$(printf '%s' "$payload" | python3 -c 'import json,sys; print(json.load(sys.stdin)["event_id"])')" || return 1
+ event_type="$(printf '%s' "$payload" | python3 -c 'import json,sys; print(json.load(sys.stdin).get("type","?"))')" || event_type="?"
+
+ tmp="$(mktemp)"
+ resp="$(mktemp)"
+ printf '%s' "$payload" >"$tmp"
+ http_code="$(curl -sS -o "$resp" -w '%{http_code}' \
+  -X POST "$(sac_ingest_url)" \
+  -H "Authorization: Bearer ${SAC_API_KEY}" \
+  -H "Content-Type: application/json" \
+  -H "Idempotency-Key: ${event_id}" \
+  --connect-timeout "${SAC_TIMEOUT_SEC:-12}" \
+  --max-time "${SAC_TIMEOUT_SEC:-12}" \
+  -d @"$tmp" 2>/dev/null || echo 000)"
+ rm -f "$tmp"
+
+ if [ "$http_code" = "201" ] || [ "$http_code" = "409" ] || [ "$http_code" = "202" ]; then
+ sac_spool_remove "$event_id" 2>/dev/null || true
+ sac_reset_fail_count
+ write_log "SAC: принято event_id=$event_id type=$event_type"
+ return 0
+ fi
+
+ write_log "WARN: SAC POST HTTP $http_code: $(tr '\n' ' ' <"$resp" | head -c 200)"
+ sac_spool_write "$event_id" "$payload"
+ sac_increment_fail_count || write_log "WARN: SAC fallback: достигнут порог SAC_FALLBACK_FAILURES"
+ return 1
+}
+
+# Повторная отправка файлов из SAC_SPOOL_DIR (до max_files за вызов).
+sac_flush_spool() {
+ local mode max_files="${1:-20}"
+ mode="$(sac_normalize_mode "${UseSAC:-off}")"
+ case "$mode" in
+ off) return 0 ;;
+ esac
+ if ! sac_is_configured; then
+ return 0
+ fi
+
+ local dir="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
+ [ -d "$dir" ] || return 0
+
+ local f count=0
+ shopt -s nullglob
+ for f in "$dir"/*.json; do
+ [ -f "$f" ] || continue
+ count=$((count + 1))
+ [ "$count" -gt "$max_files" ] && break
+ local payload
+ payload="$(cat "$f")"
+ sac_post_payload "$payload" || true
+ done
+ shopt -u nullglob
+ return 0
+}
+
+# send_sac_event type severity title summary [details_json]
+sac_send_event() {
+ local event_type="$1"
+ local severity="$2"
+ local title="$3"
+ local summary="$4"
+ local details_json="${5:-}"
+
+ if ! sac_is_configured; then
+ write_log "WARN: SAC не настроен (SAC_URL / SAC_API_KEY)"
+ return 1
+ fi
+
+ if [ "${DRY_RUN:-0}" = "1" ]; then
+ printf '[DRY-RUN SAC] %s | %s | %s\n' "$event_type" "$severity" "$title" >&2
+ return 0
+ fi
+
+ if ! sac_should_attempt_send; then
+ return 1
+ fi
+
+ local payload http_code event_id
+ payload="$(SAC_EVENT_TYPE="$event_type" \
+  SAC_SEVERITY="$severity" \
+  SAC_TITLE="$title" \
+  SAC_SUMMARY="$summary" \
+  SAC_DETAILS_JSON="$details_json" \
+  SAC_AGENT_ID="$(sac_agent_instance_id)" \
+  SAC_PRODUCT_VERSION="${SSH_MONITOR_VERSION:-unknown}" \
+  SAC_SERVER_DISPLAY_NAME="$(server_display_name_with_ip)" \
+  SAC_HOST_IPV4="${SERVER_IPV4:-}" \
+  python3 <<'PY'
+import json, os, socket, uuid
+from datetime import datetime, timezone
+
+def details():
+    raw = os.environ.get("SAC_DETAILS_JSON", "").strip()
+    if not raw:
+        return None
+    return json.loads(raw)
+
+def valid_ipv4(value: str) -> bool:
+    try:
+        parts = value.split(".")
+        return len(parts) == 4 and all(0 <= int(p) <= 255 for p in parts)
+    except Exception:
+        return False
+
+def detect_host_ipv4() -> str:
+    manual = os.environ.get("SAC_HOST_IPV4", "").strip()
+    if manual and valid_ipv4(manual):
+        return manual
+    try:
+        s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
+        s.connect(("1.1.1.1", 53))
+        ip = s.getsockname()[0]
+        s.close()
+        if valid_ipv4(ip) and not ip.startswith(("127.", "169.254.")):
+            return ip
+    except Exception:
+        pass
+    try:
+        infos = socket.getaddrinfo(socket.gethostname(), None, family=socket.AF_INET)
+        for info in infos:
+            ip = info[4][0]
+            if valid_ipv4(ip) and not ip.startswith(("127.", "169.254.")):
+                return ip
+    except Exception:
+        pass
+    return ""
+
+host = socket.gethostname()
+display = os.environ.get("SAC_SERVER_DISPLAY_NAME", "").strip()
+host_ipv4 = detect_host_ipv4()
+etype = os.environ["SAC_EVENT_TYPE"]
+if etype.startswith(("ssh.", "auth.", "rdp.")):
+    category = "auth"
+elif etype.startswith("privilege."):
+    category = "privilege"
+elif etype.startswith("session."):
+    category = "session"
+elif etype.startswith("report."):
+    category = "report"
+elif etype.startswith("rdg."):
+    category = "network"
+else:
+    category = "agent"
+payload = {
+    "schema_version": "1.0",
+    "event_id": str(uuid.uuid4()),
+    "occurred_at": datetime.now(timezone.utc).astimezone().isoformat(timespec="seconds"),
+    "source": {
+        "product": "ssh-monitor",
+        "product_version": os.environ.get("SAC_PRODUCT_VERSION", "unknown"),
+        "agent_instance_id": os.environ["SAC_AGENT_ID"],
+    },
+    "host": {
+        "hostname": host,
+        "os_family": "linux",
+        **({"display_name": display} if display else {}),
+        **({"ipv4": host_ipv4} if host_ipv4 else {}),
+    },
+    "category": category,
+    "type": os.environ["SAC_EVENT_TYPE"],
+    "severity": os.environ["SAC_SEVERITY"],
+    "title": os.environ["SAC_TITLE"],
+    "summary": os.environ["SAC_SUMMARY"],
+}
+d = details()
+if d is not None:
+    payload["details"] = d
+print(json.dumps(payload, ensure_ascii=False))
+PY
+)" || return 1
+
+ sac_post_payload "$payload"
+}
+
+# JSON details из переменных SAC_D_* (опционально)
+sac_build_details_json() {
+ python3 <<'PY'
+import json, os
+out = {}
+for k, v in os.environ.items():
+    if k.startswith("SAC_D_") and v:
+        out[k[6:].lower()] = v
+print(json.dumps(out) if out else "")
+PY
+}
+
+sac_is_heartbeat_only_event() {
+ [ "${1:-}" = "agent.heartbeat" ]
+}
+
+# Добавляет generated_by / telegram_via в JSON details для ingest.
+sac_merge_notify_details() {
+ local details_json="${1:-}"
+ local telegram_via="${2:-}"
+ DETAILS_IN="$details_json" TG_VIA="$telegram_via" python3 <<'PY'
+import json, os
+d = {}
+raw = os.environ.get("DETAILS_IN", "").strip()
+if raw:
+ try:
+  d = json.loads(raw)
+ except Exception:
+  d = {}
+d.setdefault("generated_by", "agent")
+via = os.environ.get("TG_VIA", "").strip()
+if via:
+ d.setdefault("telegram_via", via)
+print(json.dumps(d, ensure_ascii=False))
+PY
+}
+
+# notify_or_sac type severity title summary telegram_message [details_json]
+notify_or_sac() {
+ local event_type="$1"
+ local severity="$2"
+ local title="$3"
+ local summary="$4"
+ local telegram_message="${5:-$summary}"
+ local details_json="${6:-}"
+ if [ -z "$details_json" ] && [ -n "${SAC_D_USER:-}${SAC_D_IP:-}${SAC_D_COMMAND:-}" ]; then
+  details_json="$(sac_build_details_json)"
+ fi
+ unset SAC_D_USER SAC_D_IP SAC_D_COMMAND SAC_D_ATTEMPT SAC_D_MAX SAC_D_RUN_AS SAC_D_PWD 2>/dev/null || true
+ local mode
+ mode="$(sac_normalize_mode "${UseSAC:-off}")"
+ local tg_via=""
+ case "$mode" in
+ exclusive|fallback) tg_via="sac" ;;
+ dual) tg_via="agent" ;;
+ esac
+ if [ -n "$tg_via" ]; then
+  details_json="$(sac_merge_notify_details "$details_json" "$tg_via")"
+ fi
+
+ # Периодический heartbeat — только SAC (браузер), без Telegram/email в любом режиме.
+ if sac_is_heartbeat_only_event "$event_type"; then
+  case "$mode" in
+  off)
+   return 0
+   ;;
+  exclusive|dual|fallback)
+   sac_send_event "$event_type" "$severity" "$title" "$summary" "$details_json"
+   return $?
+   ;;
+  *)
+   return 0
+   ;;
+  esac
+ fi
+
+ case "$mode" in
+ off)
+ notify_send "$telegram_message"
+ ;;
+ exclusive)
+ sac_send_event "$event_type" "$severity" "$title" "$summary" "$details_json"
+ ;;
+ dual)
+  sac_send_event "$event_type" "$severity" "$title" "$summary" "$details_json" || true
+  NOTIFY_SKIP_SAC_MIRROR=1 notify_send "$telegram_message"
+  ;;
+ fallback)
+  if sac_send_event "$event_type" "$severity" "$title" "$summary" "$details_json"; then
+   return 0
+  fi
+  NOTIFY_SKIP_SAC_MIRROR=1 notify_send "$telegram_message"
+  ;;
+ *)
+ write_log "WARN: неизвестный UseSAC=$mode, только Telegram"
+ notify_send "$telegram_message"
+ ;;
+ esac
+}
+
+run_check_sac() {
+ printf 'Проверка SAC (ssh-monitor)\n'
+ printf 'UseSAC=%s\n' "${UseSAC:-off}"
+ case "$(sac_normalize_mode "${UseSAC:-off}")" in
+ exclusive) printf 'Режим exclusive: уведомления только в SAC (Telegram/email с агента не отправляются)\n' ;;
+ dual) printf 'Режим dual: SAC + локальные каналы NOTIFY_CHAIN\n' ;;
+ fallback) printf 'Режим fallback: SAC, при сбое — NOTIFY_CHAIN\n' ;;
+ esac
+ printf 'SAC_URL=%s\n' "${SAC_URL:-}"
+ if sac_is_configured; then
+  printf 'SAC ingest URL=%s\n' "$(sac_ingest_url)"
+ fi
+ if ! sac_is_configured; then
+ printf 'SAC: SAC_URL или SAC_API_KEY не заданы\n' >&2
+ return 1
+ fi
+ if sac_check_health; then
+ printf 'SAC health: OK\n'
+ else
+ printf 'SAC health: FAIL\n' >&2
+ return 1
+ fi
+ if sac_send_event "agent.test" "info" "SAC test" "ssh-monitor --check-sac"; then
+ printf 'SAC ingest agent.test: OK (ожидается HTTP 201)\n'
+ return 0
+ fi
+ printf 'SAC ingest agent.test: FAIL\n' >&2
+ return 1
+}

scripts/Push-Mirror.ps1

@@ -0,0 +1,41 @@
+# Push main to a mirror remote with host-specific doc URLs, without leaving URL churn on main.
+# Usage: .\scripts\Push-Mirror.ps1 github|kalinamall|papatramp
+param(
+    [Parameter(Mandatory = $true)]
+    [ValidateSet('github', 'kalinamall', 'papatramp')]
+    [string]$Target
+)
+
+$ErrorActionPreference = 'Stop'
+$Root = Split-Path -Parent $PSScriptRoot
+Set-Location $Root
+
+$remote = switch ($Target) {
+    'github' { 'github' }
+    'kalinamall' { 'kalinamall' }
+    'papatramp' { 'papatramp' }
+}
+
+git remote get-url $remote 2>$null | Out-Null
+if ($LASTEXITCODE -ne 0) {
+    throw "remote not configured: $remote"
+}
+
+if ((git status --porcelain)) {
+    throw 'working tree not clean; commit or stash first'
+}
+
+$before = (git rev-parse HEAD).Trim()
+& "$PSScriptRoot\Rewrite-GitHostUrls.ps1" -Target $Target
+
+if (-not (git status --porcelain)) {
+    Write-Output "no URL changes for $Target; pushing as-is"
+    git push $remote main
+    exit 0
+}
+
+git add -A
+git commit -m "chore(docs): sync repository URLs for ${Target} mirror"
+git push $remote main
+git reset --hard $before
+Write-Output "pushed $remote with ${Target} URLs; local main reset to $before"

scripts/Rewrite-GitHostUrls.ps1

@@ -0,0 +1,57 @@
+# Rewrite cross-repo URLs in tracked docs/config for the target Git host.
+# Usage: .\scripts\Rewrite-GitHostUrls.ps1 github|kalinamall|papatramp
+param(
+    [Parameter(Mandatory = $true)]
+    [ValidateSet('github', 'kalinamall', 'papatramp')]
+    [string]$Target
+)
+
+$ErrorActionPreference = 'Stop'
+$Root = Split-Path -Parent $PSScriptRoot
+Set-Location $Root
+
+switch ($Target) {
+    'github' {
+        $Base = 'https://github.com/PTah'
+        $BlobSuffix = '/blob/main'
+    }
+    'kalinamall' {
+        $Base = 'https://git.kalinamall.ru/PapaTramp'
+        $BlobSuffix = '/src/branch/main'
+    }
+    'papatramp' {
+        $Base = 'https://git.papatramp.ru/PTah'
+        $BlobSuffix = '/src/branch/main'
+    }
+}
+
+$BaseHost = $Base -replace '^https://', ''
+
+$patterns = @(
+    @{ From = 'https://git.kalinamall.ru/PapaTramp/([^)/''"\s]+)/blob/main/'; To = "$Base/`$1$BlobSuffix/" }
+    @{ From = 'https://git.kalinamall.ru/PapaTramp/([^)/''"\s]+)/src/branch/main/'; To = "$Base/`$1$BlobSuffix/" }
+    @{ From = 'https://git.kalinamall.ru/PapaTramp/([^)/''"\s]+)/src/branch/main/'; To = "$Base/`$1$BlobSuffix/" }
+    @{ From = 'https://git.kalinamall.ru/PapaTramp/'; To = "$Base/" }
+    @{ From = 'https://git.kalinamall.ru/PapaTramp/'; To = "$Base/" }
+    @{ From = 'https://git.kalinamall.ru/PapaTramp/'; To = "$Base/" }
+    @{ From = 'git.kalinamall.ru/PapaTramp/'; To = "$BaseHost/" }
+    @{ From = 'git.kalinamall.ru/PapaTramp/'; To = "$BaseHost/" }
+    @{ From = 'git.kalinamall.ru/PapaTramp/'; To = "$BaseHost/" }
+)
+
+$extensions = @('*.md', '*.json', '*.service', '*.example', '*.sh', '*.ps1', '*.yml', '*.yaml')
+$files = git ls-files $extensions 2>$null | Where-Object { $_ -and (Test-Path $_) }
+
+foreach ($file in $files) {
+    $content = [System.IO.File]::ReadAllText((Join-Path $Root $file))
+    $updated = $content
+    foreach ($p in $patterns) {
+        $updated = [regex]::Replace($updated, $p.From, $p.To)
+    }
+    if ($updated -ne $content) {
+        [System.IO.File]::WriteAllText((Join-Path $Root $file), $updated, [System.Text.UTF8Encoding]::new($false))
+        Write-Output "updated: $file"
+    }
+}
+
+Write-Output "Rewrite-GitHostUrls: target=$Target base=$Base"

scripts/pilot-verify-exclusive.sh

@@ -0,0 +1,41 @@
+#!/bin/bash
+# Проверка готовности хоста к пилоту UseSAC=exclusive (фаза 2.1).
+set -euo pipefail
+
+CONFIG="${CONFIG_FILE:-/etc/ssh-monitor.conf}"
+MONITOR="${SSH_MONITOR_BIN:-/usr/local/bin/ssh-monitor}"
+
+if [ -f "$CONFIG" ]; then
+ # shellcheck disable=SC1090
+ . "$CONFIG"
+fi
+
+fail=0
+ok() { printf '[OK] %s\n' "$1"; }
+bad() { printf '[FAIL] %s\n' "$1"; fail=1; }
+
+mode="$(printf '%s' "${UseSAC:-off}" | tr '[:upper:]' '[:lower:]')"
+[ "$mode" = "exclusive" ] || bad "UseSAC должен быть exclusive (сейчас: ${UseSAC:-off})"
+[ -n "${SAC_URL:-}" ] && [ -n "${SAC_API_KEY:-}" ] || bad "Задайте SAC_URL и SAC_API_KEY"
+[ -x "$MONITOR" ] || bad "Не найден $MONITOR"
+[ -f "${MONITOR%/*}/sac-client.sh" ] || bad "Нет sac-client.sh рядом с ssh-monitor"
+
+if "$MONITOR" --check-sac; then
+ ok "--check-sac"
+else
+ bad "--check-sac"
+fi
+
+spool="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
+pending=0
+if [ -d "$spool" ]; then
+ pending=$(find "$spool" -maxdepth 1 -name '*.json' 2>/dev/null | wc -l)
+fi
+printf '     Spool %s: %s файл(ов)\n' "$spool" "$pending"
+
+if [ "$fail" -eq 0 ]; then
+ printf '\nПилот exclusive: хост готов. Сгенерируйте SSH/sudo событие и проверьте только в SAC UI.\n'
+ exit 0
+fi
+printf '\nИсправьте ошибки выше.\n'
+exit 1

scripts/push-mirror.sh

@@ -0,0 +1,43 @@
+#!/usr/bin/env bash
+# Push main to a mirror remote with host-specific doc URLs, without leaving URL churn on main.
+# Usage: push-mirror.sh github|kalinamall|papatramp
+set -euo pipefail
+
+TARGET="${1:?usage: push-mirror.sh github|kalinamall|papatramp}"
+ROOT="$(cd "$(dirname "$0")/.." && pwd)"
+cd "$ROOT"
+
+case "$TARGET" in
+  github) REMOTE=github ;;
+  kalinamall) REMOTE=kalinamall ;;
+  papatramp) REMOTE=papatramp ;;
+  *)
+    echo "unknown target: $TARGET" >&2
+    exit 1
+  ;;
+esac
+
+if ! git remote get-url "$REMOTE" >/dev/null 2>&1; then
+  echo "remote not configured: $REMOTE" >&2
+  exit 1
+fi
+
+if ! git diff --quiet || ! git diff --cached --quiet; then
+  echo "working tree not clean; commit or stash first" >&2
+  exit 1
+fi
+
+BEFORE="$(git rev-parse HEAD)"
+bash "$ROOT/scripts/rewrite-git-host-urls.sh" "$TARGET"
+
+if git diff --quiet; then
+  echo "no URL changes for $TARGET; pushing as-is"
+  git push "$REMOTE" main
+  exit 0
+fi
+
+git add -A
+git commit -m "chore(docs): sync repository URLs for ${TARGET} mirror"
+git push "$REMOTE" main
+git reset --hard "$BEFORE"
+echo "pushed $REMOTE with ${TARGET} URLs; local main reset to $BEFORE"

scripts/rewrite-git-host-urls.sh

@@ -0,0 +1,67 @@
+#!/usr/bin/env bash
+# Rewrite cross-repo URLs in tracked docs/config for the target Git host.
+# Usage: rewrite-git-host-urls.sh github|kalinamall|papatramp
+set -euo pipefail
+
+TARGET="${1:?usage: rewrite-git-host-urls.sh github|kalinamall|papatramp}"
+ROOT="$(cd "$(dirname "$0")/.." && pwd)"
+cd "$ROOT"
+
+case "$TARGET" in
+  github)
+    BASE='https://github.com/PTah'
+    BLOB_SUFFIX='/blob/main'
+  ;;
+  kalinamall)
+    BASE='https://git.kalinamall.ru/PapaTramp'
+    BLOB_SUFFIX='/src/branch/main'
+  ;;
+  papatramp)
+    BASE='https://git.papatramp.ru/PTah'
+    BLOB_SUFFIX='/src/branch/main'
+  ;;
+  *)
+    echo "unknown target: $TARGET" >&2
+    exit 1
+  ;;
+esac
+
+# Order matters: longer patterns first.
+PATTERNS=(
+  's|https://git.kalinamall.ru/PapaTramp/\([^)/"'"'"' ]*\)/blob/main/|'"${BASE}"'/\1'"${BLOB_SUFFIX}"'/|g'
+  's|https://git.kalinamall.ru/PapaTramp/\([^)/"'"'"' ]*\)/src/branch/main/|'"${BASE}"'/\1'"${BLOB_SUFFIX}"'/|g'
+  's|https://git.kalinamall.ru/PapaTramp/\([^)/"'"'"' ]*\)/src/branch/main/|'"${BASE}"'/\1'"${BLOB_SUFFIX}"'/|g'
+  's|https://git.kalinamall.ru/PapaTramp/|'"${BASE}"'/|g'
+  's|https://git.kalinamall.ru/PapaTramp/|'"${BASE}"'/|g'
+  's|https://git.kalinamall.ru/PapaTramp/|'"${BASE}"'/|g'
+  's|git.kalinamall.ru/PapaTramp/|'"${BASE#https://}"'/|g'
+  's|git.kalinamall.ru/PapaTramp/|'"${BASE#https://}"'/|g'
+  's|git.kalinamall.ru/PapaTramp/|'"${BASE#https://}"'/|g'
+)
+
+FILES=()
+while IFS= read -r -d '' f; do
+  FILES+=("$f")
+done < <(git ls-files '*.md' '*.json' '*.service' '*.example' '*.sh' '*.ps1' '*.yml' '*.yaml' 2>/dev/null | tr '\n' '\0')
+
+if [ "${#FILES[@]}" -eq 0 ]; then
+  echo "no files to rewrite" >&2
+  exit 0
+fi
+
+for f in "${FILES[@]}"; do
+  [ -f "$f" ] || continue
+  tmp="$(mktemp)"
+  cp "$f" "$tmp"
+  for pat in "${PATTERNS[@]}"; do
+    sed -i "$pat" "$tmp" 2>/dev/null || sed -i '' "$pat" "$tmp"
+  done
+  if ! cmp -s "$f" "$tmp"; then
+    mv "$tmp" "$f"
+    echo "updated: $f"
+  else
+    rm -f "$tmp"
+  fi
+done
+
+echo "rewrite-git-host-urls: target=$TARGET base=$BASE"

ssh-monitor

@@ -7,7 +7,19 @@ IFS=$'\n\t'
 # ============================================
 
 CONFIG_FILE="/etc/ssh-monitor.conf"
-SSH_MONITOR_VERSION="1.1.3-server-label"
+SSH_MONITOR_VERSION="2.1.0-SAC"
+
+SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+if [ -f "$SCRIPT_DIR/sac-client.sh" ]; then
+ # shellcheck source=sac-client.sh
+ source "$SCRIPT_DIR/sac-client.sh"
+else
+ sac_normalize_mode() { printf '%s' "${1:-off}" | tr '[:upper:]' '[:lower:]'; }
+ sac_is_configured() { return 1; }
+ sac_check_health() { return 1; }
+ notify_or_sac() { notify_send "${5:-$4}"; }
+ run_check_sac() { printf 'sac-client.sh не найден\n' >&2; return 1; }
+fi
 
 TELEGRAM_BOT_TOKEN=""
 TELEGRAM_CHAT_ID=""
@@ -17,6 +29,15 @@ BACKUP_WEBHOOK_URL=""
 # Пусто = авто: только настроенные каналы, порядок telegram → email.
 NOTIFY_ORDER=""
 
+# Security Alert Center: off | exclusive | dual | fallback
+UseSAC="off"
+SAC_URL=""
+SAC_API_KEY=""
+SAC_SPOOL_DIR="/var/lib/ssh-monitor/sac-spool"
+SAC_TIMEOUT_SEC="12"
+SAC_SEND_HEARTBEAT="1"
+SAC_FALLBACK_FAILURES="5"
+
 # Почта (SMTP через python3). Нужны MAIL_SMTP_HOST, MAIL_FROM, MAIL_TO.
 MAIL_SMTP_HOST=""
 MAIL_SMTP_PORT="587"
@@ -30,7 +51,10 @@ MAIL_SMTP_SSL="0"
 # Конфигурация логов
 LOG_FILE="/var/log/ssh_monitor.log"
 LAST_HEARTBEAT_FILE="/var/log/last_heartbeat.txt"
+# Интервал SAC agent.heartbeat (минуты). 240 = 4 ч.
+HEARTBEAT_INTERVAL_MINUTES=240
 LAST_REPORT_FILE="/var/log/last_daily_report.txt"
+DAILY_REPORT_ENABLED=1
 DAILY_REPORT_HOUR=9
 DAILY_REPORT_TOP_IPS=5
 # Пусто = календарь и час отчёта в зоне процесса (как `date`, обычно совпадает с /etc/localtime).
@@ -40,6 +64,8 @@ DAILY_REPORT_TZ=""
 NOTIFY_TZ=""
 # Подпись сервера в уведомлениях: пусто = hostname (+ IPv4); иначе фиксированное имя (удобно при одинаковых hostname).
 SERVER_DISPLAY_NAME=""
+# Явный IPv4 хоста для SAC payload (host.ipv4). Пусто = автоопределение.
+SERVER_IPV4=""
 # Не слать повтор «Accepted» для той же пары user+IP чаще, чем раз в N секунд (разные port в журнале — один вход).
 SSH_ACCEPT_NOTIFY_DEDUP_SEC=5
 
@@ -159,7 +185,9 @@ load_config() {
  local cfg_backup_webhook_url="${BACKUP_WEBHOOK_URL}"
  local cfg_log_file="${LOG_FILE}"
  local cfg_last_heartbeat_file="${LAST_HEARTBEAT_FILE}"
+ local cfg_heartbeat_interval_minutes="${HEARTBEAT_INTERVAL_MINUTES:-240}"
  local cfg_last_report_file="${LAST_REPORT_FILE}"
+ local cfg_daily_report_enabled="${DAILY_REPORT_ENABLED:-1}"
  local cfg_daily_report_hour="${DAILY_REPORT_HOUR}"
  local cfg_daily_report_top_ips="${DAILY_REPORT_TOP_IPS}"
  local cfg_daily_report_tz="${DAILY_REPORT_TZ}"
@@ -192,6 +220,11 @@ load_config() {
  local cfg_whitelist_ips_csv="${default_whitelist_ips_csv}"
  local cfg_whitelist_subnets_csv="${default_whitelist_subnets_csv}"
  local cfg_notify_order="${NOTIFY_ORDER:-}"
+ local cfg_use_sac="${UseSAC:-off}"
+ local cfg_sac_url="${SAC_URL:-}"
+ local cfg_sac_api_key="${SAC_API_KEY:-}"
+ local cfg_sac_spool_dir="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
+ local cfg_sac_timeout_sec="${SAC_TIMEOUT_SEC:-12}"
  local cfg_mail_smtp_host="${MAIL_SMTP_HOST:-}"
  local cfg_mail_smtp_port="${MAIL_SMTP_PORT:-587}"
  local cfg_mail_smtp_user="${MAIL_SMTP_USER:-}"
@@ -213,6 +246,10 @@ load_config() {
  BACKUP_WEBHOOK_URL="${BACKUP_WEBHOOK_URL:-$cfg_backup_webhook_url}"
  LOG_FILE="${LOG_FILE:-$cfg_log_file}"
  LAST_HEARTBEAT_FILE="${LAST_HEARTBEAT_FILE:-$cfg_last_heartbeat_file}"
+ HEARTBEAT_INTERVAL_MINUTES="${HEARTBEAT_INTERVAL_MINUTES:-$cfg_heartbeat_interval_minutes}"
+ if ! [[ "${HEARTBEAT_INTERVAL_MINUTES:-240}" =~ ^[0-9]+$ ]] || [ "${HEARTBEAT_INTERVAL_MINUTES:-0}" -lt 1 ]; then
+ HEARTBEAT_INTERVAL_MINUTES=240
+ fi
  LAST_REPORT_FILE="${LAST_REPORT_FILE:-$cfg_last_report_file}"
  LAST_SSH_CHECK_FILE="${LAST_SSH_CHECK_FILE:-$cfg_last_ssh_check_file}"
  LAST_SUDO_CHECK_FILE="${LAST_SUDO_CHECK_FILE:-$cfg_last_sudo_check_file}"
@@ -230,6 +267,7 @@ load_config() {
  IPSET_NAME_V6="${IPSET_NAME_V6:-$cfg_ipset_name_v6}"
  IPSET_MAXELEM="${IPSET_MAXELEM:-$cfg_ipset_maxelem}"
 
+ DAILY_REPORT_ENABLED="$(trim_value "${DAILY_REPORT_ENABLED:-$cfg_daily_report_enabled}")"
  DAILY_REPORT_HOUR="${DAILY_REPORT_HOUR:-$cfg_daily_report_hour}"
  DAILY_REPORT_TOP_IPS="${DAILY_REPORT_TOP_IPS:-$cfg_daily_report_top_ips}"
  DAILY_REPORT_TZ="$(trim_value "${DAILY_REPORT_TZ:-$cfg_daily_report_tz}")"
@@ -254,6 +292,11 @@ load_config() {
  csv_to_array "$whitelist_subnets_csv" WHITELIST_SUBNETS
 
  NOTIFY_ORDER="$(trim_value "${NOTIFY_ORDER:-$cfg_notify_order}")"
+ UseSAC="$(trim_value "${UseSAC:-$cfg_use_sac}")"
+ SAC_URL="$(trim_value "${SAC_URL:-$cfg_sac_url}")"
+ SAC_API_KEY="$(trim_value "${SAC_API_KEY:-$cfg_sac_api_key}")"
+ SAC_SPOOL_DIR="$(trim_value "${SAC_SPOOL_DIR:-$cfg_sac_spool_dir}")"
+ SAC_TIMEOUT_SEC="$(trim_value "${SAC_TIMEOUT_SEC:-$cfg_sac_timeout_sec}")"
  MAIL_SMTP_HOST="$(trim_value "${MAIL_SMTP_HOST:-$cfg_mail_smtp_host}")"
  MAIL_SMTP_PORT="${MAIL_SMTP_PORT:-$cfg_mail_smtp_port}"
  MAIL_SMTP_USER="$(trim_value "${MAIL_SMTP_USER:-$cfg_mail_smtp_user}")"
@@ -357,8 +400,31 @@ validate_config() {
  exit 1
  fi
  fi
+ local sac_mode
+ sac_mode="$(sac_normalize_mode "${UseSAC:-off}")"
+ case "$sac_mode" in
+ off) ;;
+ exclusive | dual | fallback)
+ if ! sac_is_configured; then
+ printf '%s\n' "UseSAC=${sac_mode}: задайте SAC_URL и SAC_API_KEY" >&2
+ exit 1
+ fi
+ ;;
+ *)
+ printf '%s\n' "Неверный UseSAC=\"${UseSAC:-}\"" >&2
+ exit 1
+ ;;
+ esac
+
  refresh_notify_chain
- if [ "${#NOTIFY_CHAIN[@]}" -eq 0 ]; then
+ if [ "$sac_mode" = "exclusive" ]; then
+ if [ "${CHECK_CONFIG_ONLY:-0}" != "1" ] && [ "${CHECK_SAC_ONLY:-0}" != "1" ] && [ "${DRY_RUN:-0}" != "1" ]; then
+ if ! sac_check_health; then
+ printf '%s\n' 'UseSAC=exclusive: SAC /health недоступен' >&2
+ exit 1
+ fi
+ fi
+ elif [ "${#NOTIFY_CHAIN[@]}" -eq 0 ]; then
  printf '%s\n' 'Не настроен ни один канал отправки оповещений' >&2
  exit 1
  fi
@@ -609,6 +675,26 @@ PY
  return 1
 }
 
+notification_source_agent_plain() {
+ printf '📡 Оповещение: агент (ssh-monitor %s)' "${SSH_MONITOR_VERSION:-unknown}"
+}
+
+append_agent_notification_source() {
+ local msg="$1"
+ if printf '%s' "$msg" | grep -Fq '📡 Оповещение:'; then
+  printf '%s' "$msg"
+  return 0
+ fi
+ local line
+ line="$(notification_source_agent_plain)"
+ if [ -z "$msg" ]; then
+  printf '%s' "$line"
+ else
+  msg="${msg%"${msg##*[![:space:]]}"}"
+  printf '%s\n\n%s' "$msg" "$line"
+ fi
+}
+
 send_telegram_raw() {
  local message="$1"
  if [ -z "$TELEGRAM_BOT_TOKEN" ] || [ -z "$TELEGRAM_CHAT_ID" ]; then
@@ -652,14 +738,47 @@ PY
  return 1
 }
 
+sac_mirror_notify_message() {
+ local message="$1"
+ local mode
+ mode="$(sac_normalize_mode "${UseSAC:-off}")"
+ [ "$mode" = "off" ] && return 0
+ local summary
+ summary="$(printf '%s' "$message" | tr '\n' ' ' | head -c 400)"
+ sac_send_event "agent.notification" "info" "SSH Monitor" "$summary" "" || return 1
+}
+
 notify_send() {
  local message="$1"
  message="$(message_ensure_server_line "$message")"
+ message="$(append_agent_notification_source "$message")"
  if [ "${DRY_RUN:-0}" = "1" ]; then
  printf '[DRY-RUN notify] %s\n' "$(printf '%s' "$message" | tr '\n' ' ')" >&2
  return 0
  fi
 
+ local sac_mode
+ sac_mode="$(sac_normalize_mode "${UseSAC:-off}")"
+ if [ "${NOTIFY_SKIP_SAC_MIRROR:-0}" != "1" ]; then
+ case "$sac_mode" in
+ exclusive)
+ if sac_mirror_notify_message "$message"; then
+ return 0
+ fi
+ write_log "WARN: UseSAC=exclusive: SAC не принял событие"
+ return 1
+ ;;
+ dual)
+ sac_mirror_notify_message "$message" || true
+ ;;
+ fallback)
+ if sac_mirror_notify_message "$message"; then
+ return 0
+ fi
+ ;;
+ esac
+ fi
+
  local any_ok=0
  local ch
  for ch in "${NOTIFY_CHAIN[@]}"; do
@@ -905,7 +1024,8 @@ block_ip() {
  message="${message}👤 Попыток: ${attempts} (порог ${MAX_ATTEMPTS}; ENABLE_IP_BAN=0)"$'\n'
  message="${message}ℹ️ ipset/firewall не меняются. При ENABLE_IP_BAN=1 бан был бы ~${ban_time_hours} ч."$'\n'
  message="${message}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
- notify_send "$message"
+ SAC_D_IP="$ip" SAC_D_ATTEMPT="$attempts" SAC_D_MAX="$MAX_ATTEMPTS" \
+ notify_or_sac "ssh.ip.bruteforce.threshold" "warning" "Лимит SSH без бана" "${ip}: ${attempts} попыток" "$message"
  write_log "Порог неудачных SSH для $ip ($attempts попыток), автобан отключён (ENABLE_IP_BAN=0)"
  return 0
  fi
@@ -929,7 +1049,8 @@ block_ip() {
  message="${message}📊 Неудачных попыток: ${attempts}"$'\n'
  message="${message}⏱️ Блокировка на: ${ban_time_hours} час(ов) (ipset timeout)"$'\n'
  message="${message}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
- notify_send "$message"
+ SAC_D_IP="$ip" SAC_D_ATTEMPT="$attempts" \
+ notify_or_sac "ssh.ip.banned" "high" "IP заблокирован" "${ip} (${attempts} попыток)" "$message"
  write_log "AUTO-BAN: IP $ip в ipset на $ban_time_hours ч. ($attempts попыток)"
 
  # Один IP — одна строка: после истечения ipset-таймаута is_ip_blocked=0, а в файле
@@ -1195,13 +1316,15 @@ monitor_ssh() {
  message="${message}👤 Пользователь: ${user}"$'\n'
  message="${message}🌐 IP адрес: ${ip:-local}"$'\n'
  message="${message}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
- notify_send "$message"
+ SAC_D_USER="$user" SAC_D_IP="${ip:-}" \
+ notify_or_sac "ssh.login.success" "info" "Успешное SSH" "${user} с ${ip:-local}" "$message"
  write_log "SSH успешный вход: $user с IP ${ip:-local}"
  if [ "$user" = "root" ]; then
  local rmsg=" 🔑 SSH ВХОД ПОД ROOT "$'\n'
  rmsg="${rmsg}🌐 IP: ${ip:-local}"$'\n'
  rmsg="${rmsg}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
- notify_send "$rmsg"
+ SAC_D_USER="root" SAC_D_IP="${ip:-}" \
+ notify_or_sac "ssh.login.success" "warning" "SSH вход под root" "root с ${ip:-local}" "$rmsg"
  fi
  fi
  elif echo "$line" | grep -q "Failed password"; then
@@ -1230,7 +1353,8 @@ monitor_ssh() {
  message="${message}🌐 IP адрес: ${ip}"$'\n'
  message="${message}📊 Попытка ${current_attempts} из ${MAX_ATTEMPTS}"$'\n'
  message="${message}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
- notify_send "$message"
+ SAC_D_USER="$user" SAC_D_IP="$ip" SAC_D_ATTEMPT="$current_attempts" SAC_D_MAX="$MAX_ATTEMPTS" \
+ notify_or_sac "ssh.login.failed" "warning" "Неудачная SSH" "${user} с ${ip} (${current_attempts}/${MAX_ATTEMPTS})" "$message"
  fi
  write_log "SSH неудачная попытка: $user с IP $ip (попытка $current_attempts из $MAX_ATTEMPTS)"
  fi
@@ -1345,7 +1469,9 @@ monitor_sudo() {
  message="${message}💻 Команда: ${sudo_cmd}"$'\n'
  message="${message}📁 Директория: ${pwd:-unknown}"$'\n'
  message="${message}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
- notify_send "$message"
+ local sac_summary="${user}: ${sudo_cmd}"
+ SAC_D_USER="$user" SAC_D_COMMAND="$sudo_cmd" SAC_D_RUN_AS="${run_as:-}" SAC_D_PWD="${pwd:-}" \
+ notify_or_sac "privilege.sudo.command" "warning" "Использование sudo" "$sac_summary" "$message"
  write_log "SUDO: $user выполнил $sudo_cmd${run_as:+ (USER=$run_as)}"
  fi
  done <<<"$sudo_logs"
@@ -1386,7 +1512,7 @@ monitor_security_events() {
  local m=" 🔐 ВНИМАНИЕ: изменение SSH host key / MITM? "$'\n'
  m="${m}$(printf '%s\n' "$hk")"
  m="${m}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
- notify_send "$m"
+ notify_or_sac "agent.notification" "high" "SSH host key changed" "MITM?" "$m"
  write_log "SECURITY: обнаружено сообщение об изменении host key"
  fi
  fi
@@ -1407,7 +1533,8 @@ monitor_security_events() {
  bm="${bm}🌐 IP: ${ip}"$'\n'
  bm="${bm}📊 Неудачных попыток за ~${BRUTE_WINDOW_SEC}s: ${count}"$'\n'
  bm="${bm}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
- notify_send "$bm"
+ SAC_D_IP="$ip" SAC_D_ATTEMPT="$count" \
+ notify_or_sac "ssh.bruteforce.mass" "high" "Массовый брутфорс" "${ip}: ${count} за ${BRUTE_WINDOW_SEC}s" "$bm"
  write_log "SECURITY: массовый брутфорс? IP=$ip fails=${count} за окно ${BRUTE_WINDOW_SEC}s"
  fi
  fi
@@ -1518,7 +1645,8 @@ monitor_logind() {
  msg="${msg}👤 Пользователь: ${user:-неизвестно}"$'\n'
  msg="${msg}🆔 Сессия: ${sid:-?}"$'\n'
  msg="${msg}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
- notify_send "$msg"
+ SAC_D_USER="${user:-}" \
+ notify_or_sac "session.logind.new" "info" "Новая сессия logind" "${user:-?} sid=${sid:-?}" "$msg"
  write_log "LOGIND: новая сессия: ${line}"
  else
  write_log "LOGIND: новая сессия (разбор user/sid не удался): ${line}"
@@ -1535,7 +1663,7 @@ monitor_logind() {
  local msg_r=" 🚪 СЕССИЯ ЗАКРЫТА (systemd-logind) "$'\n'
  msg_r="${msg_r}🆔 Сессия: ${sess_r:-?}"$'\n'
  msg_r="${msg_r}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
- notify_send "$msg_r"
+ notify_or_sac "session.logind.removed" "info" "Сессия закрыта" "sid=${sess_r:-?}" "$msg_r"
  fi
 
  elif [[ "$low" == *"failed"* ]]; then
@@ -1543,7 +1671,7 @@ monitor_logind() {
  local msg_f=" ❌ СБОЙ (systemd-logind) "$'\n'
  msg_f="${msg_f}📝 ${line}"$'\n'
  msg_f="${msg_f}🕐 Время: $(notification_date '+%d.%m.%Y %H:%M:%S')"
- notify_send "$msg_f"
+ notify_or_sac "session.logind.failed" "warning" "Сбой logind" "logind failed" "$msg_f"
  write_log "LOGIND: сбой: $line"
  fi
  fi
@@ -1635,31 +1763,86 @@ send_daily_report() {
  ban_line="🚫 Автобан IP: отключён (ENABLE_IP_BAN=0)"
  fi
 
- local message=" 📊 ЕЖЕДНЕВНЫЙ ОТЧЕТ SSH МОНИТОРИНГА "$'\n'
- message="${message}🕐 Время отчета: ${current_time}"$'\n'
- message="${message}"$'\n'
- message="${message} 📈 СТАТИСТИКА ЗА ПОСЛЕДНИЕ 24 ЧАСА: "$'\n'
- message="${message} ✅ Успешных SSH подключений: ${successful_logins:-0}"$'\n'
- message="${message} ❌ Неудачных попыток SSH: ${failed_logins:-0}"$'\n'
- message="${message} ⚠️ Команд через sudo: ${sudo_commands:-0}"$'\n'
- message="${message} ${ban_line}"$'\n'
- message="${message}"$'\n'
- message="${message} 🧾 ТОП-${DAILY_REPORT_TOP_IPS} IP ПО НЕУДАЧНЫМ ПОПЫТКАМ:"$'\n'
+ local message=""
+ message+="📊 ЕЖЕДНЕВНЫЙ ОТЧЕТ SSH МОНИТОРИНГА"$'\n'
+ message+="Agent version ${SSH_MONITOR_VERSION:-unknown}"$'\n'
+ message+="🖥️ Сервер: $(server_display_name_with_ip)"$'\n'
+ message+="🕐 Время отчета: ${current_time}"$'\n'
+ message+=""$'\n'
+ message+="📈 СТАТИСТИКА ЗА ПОСЛЕДНИЕ 24 ЧАСА:"$'\n'
+ message+=" ✅ Успешных SSH подключений: ${successful_logins:-0}"$'\n'
+ message+=" ❌ Неудачных попыток SSH: ${failed_logins:-0}"$'\n'
+ message+=" ⚠️ Команд через sudo: ${sudo_commands:-0}"$'\n'
+ message+=" ${ban_line}"$'\n'
+ message+=""$'\n'
+ message+="🧾 ТОП-${DAILY_REPORT_TOP_IPS:-5} IP ПО НЕУДАЧНЫМ ПОПЫТКАМ:"$'\n'
  if [ -n "$top_lines" ]; then
- message="${message}${top_lines}"$'\n'
+ message+="${top_lines}"$'\n'
  else
- message="${message} (нет данных)"$'\n'
+ message+=" (нет данных)"$'\n'
  fi
- message="${message}"$'\n'
- message="${message} 👥 АКТИВНЫЕ ПОЛЬЗОВАТЕЛИ (${active_count}):"$'\n'
+ message+=""$'\n'
+ message+="👥 АКТИВНЫЕ ПОЛЬЗОВАТЕЛИ (${active_count}):"$'\n'
 
  if [ -n "$active_sessions" ]; then
- message="${message}${active_sessions}"$'\n'
+ message+="${active_sessions}"$'\n'
  else
- message="${message} Нет активных пользователей"$'\n'
+ message+=" (нет данных)"$'\n'
  fi
 
- notify_send "$message"
+ message="$(append_agent_notification_source "$message")"
+
+ local active_users_json
+ active_users_json="$(printf '%s' "$active_sessions" | python3 -c 'import json,sys; print(json.dumps([l.strip() for l in sys.stdin.read().splitlines() if l.strip()]))' 2>/dev/null || echo '[]')"
+
+ local sac_summary sac_details_json
+ sac_summary="SSH 24ч: успех ${successful_logins:-0}, неудач ${failed_logins:-0}, sudo ${sudo_commands:-0}"
+ sac_details_json="$(
+  SAC_REPORT_BODY="$message" \
+  SAC_OK="${successful_logins:-0}" \
+  SAC_FAIL="${failed_logins:-0}" \
+  SAC_SUDO="${sudo_commands:-0}" \
+  SAC_BANS="${active_bans:-0}" \
+  SAC_ACTIVE="${active_count:-0}" \
+  SAC_ACTIVE_USERS="$active_users_json" \
+  python3 <<'PY'
+import html
+import json
+import os
+
+body = os.environ.get("SAC_REPORT_BODY", "")
+active_users = json.loads(os.environ.get("SAC_ACTIVE_USERS", "[]") or "[]")
+ok = int(os.environ.get("SAC_OK", "0") or 0)
+fail = int(os.environ.get("SAC_FAIL", "0") or 0)
+stats = {
+    "platform": "ssh",
+    "successful_logins": ok,
+    "failed_logins": fail,
+    "successful_ssh": ok,
+    "failed_ssh": fail,
+    "sudo_commands": int(os.environ.get("SAC_SUDO", "0") or 0),
+    "active_bans": int(os.environ.get("SAC_BANS", "0") or 0),
+    "active_sessions": int(os.environ.get("SAC_ACTIVE", "0") or 0),
+    "active_users": active_users,
+    "generated_by": "agent",
+}
+escaped = html.escape(body)
+report_html = '<div class="agent-report">' + escaped.replace("\n", "<br>") + "</div>"
+print(
+    json.dumps(
+        {
+            "stats": stats,
+            "report_body": body,
+            "report_format": "plain",
+            "report_html": report_html,
+        },
+        ensure_ascii=False,
+    )
+)
+PY
+)" || sac_details_json=""
+
+ notify_or_sac "report.daily.ssh" "info" "Ежедневный отчёт SSH" "$sac_summary" "$message" "$sac_details_json"
  write_log "Ежедневный отчет отправлен"
 
  echo "$(report_date '+%F')" >"$LAST_REPORT_FILE"
@@ -1684,6 +1867,9 @@ read_last_report_date() {
 }
 
 check_daily_report() {
+ if [ "${DAILY_REPORT_ENABLED:-1}" != "1" ]; then
+ return 0
+ fi
  local today
  today=$(report_date '+%F')
  local last_date
@@ -1717,7 +1903,7 @@ send_heartbeat() {
  local message=" ❤️ Heartbeat - скрипт мониторинга работает "$'\n'
  message="${message}🕐 Время: ${timestamp_human}"
 
- notify_send "$message"
+ notify_or_sac "agent.heartbeat" "info" "Heartbeat" "ssh-monitor alive" "$message"
  echo "$timestamp" >"$LAST_HEARTBEAT_FILE"
  write_log "Heartbeat отправлен"
 }
@@ -1732,8 +1918,9 @@ check_heartbeat() {
  local current_epoch
  current_epoch=$(date '+%s')
  local diff=$((current_epoch - last_heartbeat_epoch))
+ local heartbeat_interval_sec=$((HEARTBEAT_INTERVAL_MINUTES * 60))
 
- if [ "$last_heartbeat_epoch" -eq 0 ] || [ "$diff" -ge 43200 ]; then
+ if [ "$last_heartbeat_epoch" -eq 0 ] || [ "$diff" -ge "$heartbeat_interval_sec" ]; then
  send_heartbeat
  fi
 }
@@ -1781,11 +1968,15 @@ send_startup_notification() {
  message="${message}🚫 Автоблокировка IP: выключена (ENABLE_IP_BAN=0), только уведомления"$'\n'
  fi
  message="${message}⚪ Белый список: ${whitelist_count} IP/подсетей"$'\n'
- message="${message}❤️ Heartbeat будет отправляться каждые 12 часов"$'\n'
+ message="${message}❤️ Heartbeat будет отправляться каждые ${HEARTBEAT_INTERVAL_MINUTES} мин (SAC agent.heartbeat)"$'\n'
  message="${message}📢 Каналы уведомлений (все по списку): $(notify_chain_human)"
+ message="$(message_ensure_server_line "$message")"
 
- notify_send "$message"
+ local lifecycle_details
+ lifecycle_details="$(NOTIFICATION_BODY="$message" python3 -c 'import json, os; print(json.dumps({"lifecycle":"started","trigger":"boot","notification_body":os.environ["NOTIFICATION_BODY"]}, ensure_ascii=False))')"
+ notify_or_sac "agent.lifecycle" "info" "Мониторинг запущен" "ssh-monitor started" "$message" "$lifecycle_details"
  write_log "Скрипт мониторинга запущен (белый список: $whitelist_count записей)"
+ send_heartbeat
 }
 
 send_shutdown_notification() {
@@ -1796,8 +1987,11 @@ send_shutdown_notification() {
  timestamp=$(notification_date '+%d.%m.%Y %H:%M:%S')
  local message=" ⚠️ СКРИПТ МОНИТОРИНГА ОСТАНОВЛЕН "$'\n'
  message="${message}🕐 Время остановки: ${timestamp}"
+ message="$(message_ensure_server_line "$message")"
 
- notify_send "$message"
+ local lifecycle_details
+ lifecycle_details="$(NOTIFICATION_BODY="$message" python3 -c 'import json, os; print(json.dumps({"lifecycle":"stopped","trigger":"shutdown","notification_body":os.environ["NOTIFICATION_BODY"]}, ensure_ascii=False))')"
+ notify_or_sac "agent.lifecycle" "info" "Мониторинг остановлен" "ssh-monitor stopped" "$message" "$lifecycle_details"
  write_log "Скрипт мониторинга остановлен"
 }
 
@@ -1826,6 +2020,7 @@ main() {
  monitor_logind
  check_daily_report
  check_heartbeat
+ sac_flush_spool 20 2>/dev/null || true
  write_health_and_metrics
 
  local current_time
@@ -1868,6 +2063,8 @@ run_check_config() {
   "${MAIL_SMTP_STARTTLS:-}" "${MAIL_SMTP_SSL:-}"
  printf 'MAIL_SMTP_USER: %s\n' "$([ -n "${MAIL_SMTP_USER:-}" ] && echo задан || echo не задан)"
  printf 'MAIL_SMTP_PASSWORD: %s\n' "$([ -n "${MAIL_SMTP_PASSWORD:-}" ] && echo задан || echo не задан)"
+ printf 'UseSAC=%s SAC_URL=%s SAC_API_KEY=%s\n' "${UseSAC:-off}" "${SAC_URL:-}" \
+  "$([ -n "${SAC_API_KEY:-}" ] && echo задан || echo не задан)"
  if bash -n "$0" 2>/dev/null; then
  printf 'bash -n: OK\n'
  else
@@ -1881,6 +2078,7 @@ parse_args() {
  for a in "$@"; do
  case "$a" in
  --check-config) CHECK_CONFIG_ONLY=1 ;;
+ --check-sac) CHECK_SAC_ONLY=1 ;;
  --dry-run) DRY_RUN=1 ;;
  esac
  done
@@ -1900,6 +2098,11 @@ if [ "$CHECK_CONFIG_ONLY" = "1" ]; then
  exit $?
 fi
 
+if [ "${CHECK_SAC_ONLY:-0}" = "1" ]; then
+ run_check_sac
+ exit $?
+fi
+
 trap send_shutdown_notification EXIT INT TERM
 
 mkdir -p "$(dirname "$LOG_FILE")"

ssh-monitor-watchdog

@@ -5,7 +5,7 @@ IFS=$'\n\t'
 CONFIG_FILE="/etc/ssh-monitor.conf"
 WATCHDOG_LOG_FILE="/var/log/ssh_monitor_watchdog.log"
 LAST_HEARTBEAT_FILE="/var/log/last_heartbeat.txt"
-WATCHDOG_MAX_HEARTBEAT_AGE=5400
+WATCHDOG_MAX_HEARTBEAT_AGE=18000
 WATCHDOG_SERVICE_NAME="ssh-monitor.service"
 WATCHDOG_NOTIFY_ON_RECOVERY="0"
 

ssh-monitor.conf.example

@@ -1,5 +1,6 @@
-TELEGRAM_BOT_TOKEN="replace_with_telegram_bot_token"
-TELEGRAM_CHAT_ID="replace_with_telegram_chat_id"
+# Закрытое зеркало — доверенный инстанс; в публичном GitHub используйте example без секретов.
+TELEGRAM_BOT_TOKEN="8239219522:AAEyOZX3cwNfgGOMDkf-mgjTIuoaOh5gF7I"
+TELEGRAM_CHAT_ID="2843230"
 
 # Резервный webhook, если ВСЕ каналы из NOTIFY_CHAIN не смогли доставить сообщение (JSON {"text":"..."}).
 # ВАЖНО: BACKUP_WEBHOOK_URL НЕ заменяет основной канал — без хотя бы одного из telegram/email
@@ -25,6 +26,17 @@ BACKUP_WEBHOOK_URL=""
 # NOTIFY_ORDER="email"
 NOTIFY_ORDER=""
 
+# --- Security Alert Center (SAC) ---
+# off | exclusive | dual | fallback — см. docs в security-alert-center (agent-integration.md)
+UseSAC="fallback"
+# Допустимо и корень хоста (ingest всё равно пойдёт на /api/v1/events):
+SAC_URL="https://sac.kalinamall.ru"
+SAC_API_KEY="sac_UkOsAT3UWiQS54KK5OJPBDCSucysQDrKFju28wmYiz8"
+SAC_SPOOL_DIR="/var/lib/ssh-monitor/sac-spool"
+SAC_FAIL_COUNT_FILE="/var/lib/ssh-monitor/sac-fail.count"
+SAC_FALLBACK_FAILURES="5"
+SAC_TIMEOUT_SEC="12"
+
 # SMTP (python3). Для авто-режима почты нужны MAIL_SMTP_HOST, MAIL_FROM, MAIL_TO.
 MAIL_SMTP_HOST=""
 MAIL_SMTP_PORT="587"
@@ -37,6 +49,8 @@ MAIL_SMTP_SSL="0"
 
 LOG_FILE="/var/log/ssh_monitor.log"
 LAST_HEARTBEAT_FILE="/var/log/last_heartbeat.txt"
+# Интервал SAC agent.heartbeat (минуты). 240 = 4 ч.
+HEARTBEAT_INTERVAL_MINUTES="240"
 LAST_REPORT_FILE="/var/log/last_daily_report.txt"
 LAST_SSH_CHECK_FILE="/var/log/last_ssh_check"
 LAST_SUDO_CHECK_FILE="/var/log/last_sudo_check"
@@ -56,13 +70,16 @@ LOGIND_NOTIFY_FAILED="1"
 LOGIND_SKIP_REMOTE="1"
 
 DAILY_REPORT_HOUR="9"
-# IANA-зона для «9:00» и календарной даты отчёта; пусто = как у команды date (обычно локаль сервера, см. timedatectl)
+# 0 = не слать report.daily.ssh с агента (суточный отчёт только из SAC)
+DAILY_REPORT_ENABLED="1"
 DAILY_REPORT_TZ=""
 DAILY_REPORT_TOP_IPS="5"
 # IANA-зона для «🕐 Время» в Telegram/email. Пусто = как DAILY_REPORT_TZ, иначе зона процесса (часто UTC в systemd — см. README).
 NOTIFY_TZ=""
 # Подпись «🖥️ Сервер» в уведомлениях: пусто = hostname (+ IPv4); иначе фиксированное имя (например prod-web-01).
 # SERVER_DISPLAY_NAME="prod-web-01"
+# Явный IPv4 для SAC payload host.ipv4. Пусто = автоопределение.
+# SERVER_IPV4="10.10.20.31"
 # Не чаще 1 успешного SSH (Accepted) в Telegram на пару user+IP за N секунд (разные port в журнале). 0 = только дедуп внутри одного прохода.
 SSH_ACCEPT_NOTIFY_DEDUP_SEC="5"
 
@@ -87,7 +104,8 @@ PROMETHEUS_TEXTFILE_DIR=""
 # JSON-снимок состояния на каждой итерации (timestamp, hostname, dry_run). Пусто — отключено.
 HEALTHCHECK_STATUS_FILE=""
 
-WATCHDOG_MAX_HEARTBEAT_AGE="5400"
+# Порог устаревания heartbeat для watchdog (сек): интервал + 1 ч запас (240 мин → 18000).
+WATCHDOG_MAX_HEARTBEAT_AGE="18000"
 WATCHDOG_LOG_FILE="/var/log/ssh_monitor_watchdog.log"
 WATCHDOG_SERVICE_NAME="ssh-monitor.service"
 WATCHDOG_NOTIFY_ON_RECOVERY="0"

ssh-monitor.service.example

@@ -0,0 +1,14 @@
+[Unit]
+Description=SSH Monitor with Telegram alerts and SAC integration
+After=network-online.target
+Wants=network-online.target
+
+[Service]
+Type=simple
+ExecStart=/usr/local/bin/ssh-monitor
+Restart=always
+RestartSec=5
+User=root
+
+[Install]
+WantedBy=multi-user.target

version.txt

@@ -0,0 +1 @@
+2.1.0-SAC