اقدام‌ها

ایجنت wardex به‌طور پیش‌فرض فقط می‌بیند و گزارش می‌دهد. از نسخه‌ی ۲ می‌تواند چند کار مشخص را هم خودش انجام دهد: بستن IP مهاجم، ری‌استارت سرویس خراب و قرنطینه‌ی فایل مشکوک. هر کدام خاموش است تا وقتی خودتان روی سرور روشنش کنید.

سه اقدام#

باز کردن IP بسته‌شده و بستن دستی یک IP هم از داشبورد، با کد Authenticator، ممکن است.

روشن کردن#

روی سرور اجرا کنید (هر کدام را که بخواهید):

sudo wardex-agent allow block-ip restart-service quarantine

بستن IP به nftables نیاز دارد (sudo apt install nftables یا sudo dnf install nftables). ایجنت فقط یک جدول جدا به اسم inet wardex می‌سازد و به قوانین فعلی فایروال شما دست نمی‌زند.

خاموش کردن هر وقت بخواهید؛ با خاموش کردن بستن IP، همه‌ی IPهای بسته‌شده هم فوراً باز می‌شوند:

sudo wardex-agent deny all

تأیید از داشبورد با اپ Authenticator#

برای اینکه بتوانید از داشبورد IP باز کنید یا فایل قرنطینه کنید، یک بار روی سرور این دستور را بزنید و QR را با اپ Authenticator گوشی‌تان (Google Authenticator، Microsoft Authenticator، Aegis و…) اسکن کنید:

sudo wardex-agent authenticator

از آن به بعد، هر اقدامی که از داشبورد بخواهید، کد ۶ رقمی اپ را می‌خواهد.

• هر کد فقط یک بار پذیرفته می‌شود.
• بعد از ۵ کد اشتباه، تأیید از داشبورد یک ساعت قفل می‌شود و هشدار می‌گیرید.
• ساعت گوشی باید روی تنظیم خودکار باشد.
• خاموش کردن تأیید از داشبورد: sudo wardex-agent authenticator --remove

هیچ‌وقت خودتان را پشت در نمی‌گذارد#

این IPها هرگز بسته نمی‌شوند، چه خودکار و چه از داشبورد:

• IPهای خود سرور و آدرس‌های داخلی (loopback)
• هر IP که همین الان یک نشست SSH باز دارد
• هر IP که در ۳۰ روز گذشته با موفقیت وارد سرور شده است
• فهرست «هرگز نبند» خودتان در /etc/wardex/agent.json:

{ "neverBlock": ["203.0.113.10", "10.0.0.0/8"], "blockAfter": 20, "blockWindowM": 10, "blockForM": 60 }

blockAfter، blockWindowM و blockForM تعداد تلاش ناموفق، بازه به دقیقه و مدت اولین بستن به دقیقه را تنظیم می‌کنند.

با "blockWebAttacks": true، IPهایی هم که در ۱۰ دقیقه ۳۰ بار یا بیشتر درخواست حمله به سایت بفرستند (تزریق SQL، XSS، خواندن فایل، اجرای دستور یا جست‌وجوی فایل‌های حساس، از روی لاگ وب‌سرور) خودکار بسته می‌شوند. این گزینه پیش‌فرض خاموش است.

امنیت اقدام‌ها#

• پردازه‌ی جدا و بدون اینترنت. کارهایی که دسترسی root می‌خواهند را سرویس جدای wardex-actuator انجام می‌دهد. این سرویس هیچ دسترسی شبکه‌ای ندارد و فقط چند کار ثابت را می‌شناسد. ایجنتی که به اینترنت وصل است همچنان بدون root اجرا می‌شود.
• هر درخواست دوباره بررسی می‌شود. آدرس IP باید معتبر و غیرمحافظت‌شده باشد، فایل باید داخل پوشه‌ی سایت باشد و پوشه‌های سیستمی (/etc، /usr، /root…) هیچ‌وقت قرنطینه نمی‌شوند. حتی اگر پوشه‌ای در سایت به آن‌ها لینک داده شده باشد.
• اجرای دستور دلخواه وجود ندارد. نه در ایجنت، نه در wardex.
• کلید قطع اضطراری. اگر فرمان‌های غیرعادی زیادی ساخته شود، wardex ارسال همه‌ی فرمان‌ها را متوقف می‌کند.
• همه‌چیز ثبت می‌شود، هم در رویدادهای داشبورد و هم روی خود سرور.

دیدن و انجام از روی سرور#

همه‌ی کارها بدون داشبورد هم از روی سرور انجام می‌شوند:

sudo wardex-agent actions                      # چه چیزی روشن است، IPهای بسته، فایل‌های قرنطینه، آخرین اقدام‌ها
sudo wardex-agent block 203.0.113.7 --for 6h   # بستن دستی
sudo wardex-agent unblock 203.0.113.7
sudo wardex-agent quarantine /var/www/site/wp-content/uploads/x.php
sudo wardex-agent restore 20261019-12e907e64508