Shieldlist

Règles et packs

Un serveur exécute la racine de l'arborescence du contrôleur plus les packs que sa déclaration nomme. Attribuez les packs dans la console (Servers → le serveur → Rules) ou dans son fichier :

packs: [openssh, web]

Le contrôleur valide toute l'arborescence et l'assemblage de chaque machine (shieldlist-controller -t), puis un rechargement pousse le changement aux serveurs concernés.

D'où viennent les packs

  • La bibliothèque de ce site. Les packs gratuits se lisent ici, se téléchargent et se déposent dans l'arborescence du contrôleur sous packs/<nom>/. Les packs premium demandent un compte et arrivent par le contrôleur.
  • Les vôtres. Un pack est un dossier de petits fichiers YAML ; écrivez-en un depuis la console (Rules → New pack…) ou copiez le langage /etc/shieldlist d'une machine qui marche. Agent → Writing rules est la référence.

Un contrôleur récupère les packs que son compte autorise et les pousse, avec leurs mises à jour, vers chaque serveur qui doit les avoir. C'est la seule façon pour des règles d'atteindre des serveurs automatiquement ; sans contrôleur, les règles arrivent sur une machine à la main.

Lire une règle

rule: ssh
description: SSH brute force — wrong passwords, connections dropped in authentication
category: ssh
parsers: [ssh-auth-fail, ssh-preauth-abort, ssh-auth-abandoned]
threshold: [3/5m, 10/6h]
ban: ssh
report: ssh-brute-force

Quelles lignes comptent (parsers), combien en combien de temps (threshold — ici deux fenêtres, l'attaquant bruyant et le patient), quelle échelle de ban (ban: ssh nomme une politique : 6h → 24h → 7d, qui monte au retour), ce que dit un signalement si le signalement est activé. Le niveau d'un serveur met à l'échelle tous les seuils qu'il exécute : instant, strict, standard, lenient.

Exemptions

Vos propres adresses, votre supervision, les bureaux de vos clients : les exemptions retirent la sanction, jamais l'observation — une adresse exemptée apparaît toujours dans la console, marquée comme telle. Elles vivent à la racine de l'arborescence du contrôleur (tous les serveurs) ou par serveur, et peuvent être publiées depuis une URL que vos propres outils entretiennent. Contrôleur → Configuration donne les clés.