Agente Sentinel Host: requisitos e operação

Plataformas suportadas, requisitos de rede e de privilégio do agente Sentinel Host, os dados que ele coleta, como ele protege o desempenho de cada máquina e como o parque se mantém organizado.

O WASViking Sentinel Host é o agente do Infrastructure Defense. Ele roda como um serviço do sistema em cada máquina, reporta um inventário de postura de segurança via TLS mútuo e executa as mudanças que você aprova no Resolve. Esta página cobre do que ele precisa, o que ele coleta e como ele se comporta em um host ocupado.

Plataformas suportadas

O comando de instalação vem da página de instalação de uma chave de ativação e já carrega a chave, então registra o host e inicia o serviço em um único passo. O guia de configuração mostra o caminho.

Rede

O agente faz conexões de saída para a nuvem da WASViking na porta 443 e não escuta conexões de entrada.

O TLS mútuo não atravessa um dispositivo que reassina o tráfego TLS, então esses domínios precisam ficar fora da inspeção TLS. Exclusões de proteção de endpoint lista os domínios, as pastas e os processos a excluir, produto por produto. Um site sem rota para a internet encaminha os seus agentes por um Sentinel Gateway.

Privilégios

O agente roda como LocalSystem no Windows e como root no Linux e no macOS. Ele precisa desses direitos para ler a configuração de segurança da máquina e para instalar as atualizações e as mudanças que um job nomeia. Um host pode recusar scripts na sua configuração local.

O que o agente coleta

O inventário cobre o sistema operacional e o kernel, os pacotes instalados, os serviços em execução e as portas em escuta, as atualizações pendentes e configurações de segurança, como o estado do firewall e as opções de hardening do SSH. Ele também traz os dados da máquina que um operador espera encontrar em um registro de ativo: nomes (FQDN, hostname DNS e, no Windows, o nome NetBIOS), endereços IPv4 e IPv6, fabricante e modelo, processador e memória total, volumes fixos com espaço livre e os nomes das contas locais conforme o sistema operacional os reporta.

O agente lê apenas a postura. Ele não abre arquivos nem conteúdo de usuários, e os nomes de conta são coletados sem nenhum dado de perfil nem atividade por usuário.

Proteção de desempenho e de recursos

A proteção de desempenho e de recursos faz parte da política de host. Ela declara quanto de um host o agente pode usar e quando ele deve ceder espaço: uma fração da CPU da máquina (um teto rígido por meio do control group do systemd no Linux e de um job object no Windows, uma prioridade de escalonamento no macOS), a cadência de inventário e de check-in, prioridade de escalonamento reduzida para o agente e para todo subprocesso que ele cria, e uma janela diária de atividade reduzida no horário local do próprio host. Três presets cobrem os casos usuais: Conservative para produção crítica, Balanced para o parque em geral, Performance para desenvolvimento e teste; Custom expõe todos os números.

Além do limite estático, o agente observa o host antes de toda avaliação agendada e antes de todo job de patch. Um host acima dos limites de CPU ou de memória da política, ou sob carga crítica, é deixado em paz. A avaliação espera e olha de novo a cada dez minutos, até o máximo da política, e então roda mesmo assim em prioridade reduzida, para que a cobertura não se interrompa em silêncio. Um job de patch volta para a nuvem como adiado, é oferecido de novo um quarto de hora depois e falha de forma visível, com os números na nota, se o host não se acalmar dentro da espera máxima. Uma leitura de host ocupado é confirmada em mais duas olhadas, com alguns segundos entre elas, antes de qualquer coisa ser adiada, então um pico curto não adia trabalho sozinho.

A página de cada ativo mostra o que o seu agente reporta: a revisão do perfil que ele aplica, como a plataforma o impõe, a carga que ele mediu no último check-in e qualquer trabalho em espera. Agentes a partir da release 0.1.34 aplicam o perfil; agentes mais antigos seguem apenas a cadência de inventário dele. A partir da release 0.1.53 o agente mede a carga a cada check-in e confirma uma leitura de host ocupado antes de adiar trabalho; releases anteriores mostram a leitura da última avaliação ou do último job.

Higiene do parque

A higiene do parque mantém a lista de agentes fiel à realidade sem que ninguém precise arrumá-la. A franquia de hosts monitorados conta ativos que reportaram, e não tentativas de registro. Um instalador que não consegue alcançar a nuvem para antes de registrar e nomeia o produto que está no caminho; um registro que foi criado mas não enviou o seu primeiro inventário gera um único alerta com a verificação a executar e as exclusões a aplicar; um token que fica sem uso expira; e quando uma máquina finalmente reporta, os registros anteriores do mesmo hostname que não foram concluídos são aposentados sozinhos.

A tela Sentinel Hosts sinaliza o que precisa de atenção (nunca reportou, token nunca usado, hostname duplicado, em silêncio há uma semana), oferece a remoção em um clique dos registros incompletos de um hostname e permite definir as janelas de limpeza: por quanto tempo um host em silêncio é mantido, por quanto tempo um token vive sem uso e em quanto tempo a falta do primeiro inventário é anunciada.

Atualizações

Os agentes registrados se atualizam com um clique a partir do console. Em um site com um Sentinel Gateway, cada release do agente é baixada uma vez e servida a todos os hosts do site a partir de um repositório verificado.