Gerenciamento do Firewall

Utilizando o comando orbit firewall você pode gerenciar o bloqueio de origem realizado pelo HIDS, e normalizar as regras de firewall para os serviços em execução.

Até a versão corrente (senhasegura v3.2) o bloqueio de um host ocorre quando este host excede a tentativa de login via SSH.

mt4adm@vmdf-giskard:~$ sudo orbit firewall --help
Usage: orbit firewall [<command>]

System Firewall management tools

Arguments:
  [<command>]    Run security commads: [block|unblock|normalize|status]

Flags:
      --help             Show context-sensitive help.

  -h, --host=HOST,...    Host IP or Network list
      --force            Force the command execution, never prompt
      --show

Utilize o argumento –show ou a ação status para listar os IPs que estão com acesso bloqueado a essa instância do senhasegura .

mt4adm@vmdf-giskard:~$ sudo orbit firewall --show
Currently blocked hosts
172.18.77.185

mt4adm@vmdf-giskard:~$ sudo orbit firewall status
Currently blocked hosts
172.18.77.185

Para liberar o acesso de um IP específico, utilize a ação unblock com o argumento –host.

mt4adm@vmdf-giskard:~$ sudo orbit firewall unblock  
    --host=172.18.77.185
Are you sure you want to proceed: y
Done!
No errors reported

Utilize a ação icmp com o argumento –help  para liberar o acesso por IP.

-- orbit firewall icmp --help

root@vmdf-senseg-testing-1:/home/mt4adm# orbit firewall icmp --help
Usage: orbit firewall icmp <command>

Arguments:
  <command>    Action for icmp rule: [enable|disable]

Flags:
  -h, --help         Show context-sensitive help.

  -i, --ip=IP,...    Host ip list
      --force        Force the command execution, never prompt

Se houver a necessidade de bloquear um IP específico, você pode utilizar a ação block.

mt4adm@vmdf-giskard:~$ sudo orbit firewall block  
    --host=172.18.77.185
Are you sure you want to proceed: y
Done!
No errors reported

Para normalizar as regras de firewall baseado nos serviços instalados, a cada atualização do sistema o próprio Orbit executa o comando orbit firewall normalize. Este comando também pode ser executado pelo administrador.

mt4adm@vmdf-giskard:~$ sudo orbit firewall normalize
Are you sure you want to proceed: y
Firewall normalized
No errors reported

Lista de permissões do wazuh

Ao criar um cluster você pode querer garantir que os membros estejam na whitelist para adicionar o servidor à whitelist você pode usar o comando:

orbit wazuh whitelist

Comando para adicionar um novo IP ao senhasegura:

orbit wazuh whitelist add --ips=172.23.213.48

Comando para remover um IP do senhasegura:

orbit wazuh whitelist delete --ips=1.1.1.1,2.2.2.2

Comando para verificar a whitelist do senhasegura:

orbit wazuh whitelist status