Configure o Infrastructure Defense
Registre os seus primeiros servidores passo a passo. Crie uma chave de ativação, instale o agente Sentinel Host no Windows, Linux ou macOS (incluindo implantação em massa por MSI), conheça o seu parque na tela Assets e defina as políticas que regem a avaliação e a aplicação de patches.
Este guia leva você de um módulo vazio a um parque pontuado: ao final, você terá agentes reportando a partir dos seus servidores, cada host com um Viking Exposure Score e os seus fatores visíveis, e as regras de engajamento (o que é avaliado, quem aprova mudanças, quando mudanças são permitidas) registradas como políticas. Nada aqui exige abrir uma porta de entrada ou mexer em regra de firewall: o agente sempre abre a conexão de saída, por TLS mútuo.
Antes de começar
O Infrastructure Defense é um módulo add-on ativado por organização pelo seu contato na WASViking ou pelo seu parceiro. Depois de ativado, a seção Infrastructure Defense aparece na barra lateral do portal. Registrar e gerenciar agentes exige a permissão Manage no módulo; aprovar jobs de patch exige a permissão dedicada Remediate, para que você possa manter essas duas responsabilidades em mãos diferentes desde o primeiro dia.
Passo 1: escolha como você vai registrar
Abra Infrastructure Defense → Sentinel Hosts. A tela oferece os dois caminhos de onboarding lado a lado:
- Use an activation key (usar uma chave de ativação) é o caminho recomendado: uma credencial reutilizável registra qualquer número de servidores, cada máquina se registra com o seu próprio hostname e a sua própria identidade de certificado, e uma reinstalação na mesma máquina retoma o mesmo ativo. Este guia segue esse caminho.
- Enroll a single server (registrar um único servidor) emite um token de uso único para uma máquina, para um host avulso. O token expira sem uso depois da janela definida em Fleet housekeeping (sete dias por padrão).
Nos dois casos, um host só conta na sua franquia de hosts monitorados depois do primeiro inventário: registros que nunca se completam são tentativas, não ativos, e a plataforma os descarta sozinha assim que a máquina reporta.
Se o servidor está atrás de um antivírus, de uma solução de detecção em endpoint ou de um dispositivo de inspeção TLS, leia antes Exclusões de proteção de endpoint para o Sentinel Host. O instalador verifica o caminho até a nuvem antes de registrar e interrompe a instalação diante de um caminho bloqueado, indicando o nome do produto que está no meio.
Passo 2: crie uma chave de ativação
Abra a aba Activation keys, dê à chave um título que a sua equipe reconheça ("Servidores de produção", "Onboarding do data center"), opcionalmente limite quantos agentes ela pode registrar e quando ela expira, escolha a política sob a qual os hosts dela começam e gere a chave. Você pode desativar, editar ou excluir uma chave a qualquer momento sem afetar os agentes já registrados, e o contador ao lado de cada chave mostra quanto da franquia de hosts do seu plano ela já consumiu.
Passo 3: instale o agente
Clique em Install agent ao lado da chave. A página de instalação traz a chave dentro de cada comando, então a instalação é um download e uma linha no servidor: o agente troca a credencial pela sua própria identidade de certificado e inicia o serviço, sempre com conexão de saída por TLS mútuo. Copie o comando direto dessa página ou use a referência abaixo.
Uma linha, duas credenciais
O comando de instalação é o mesmo em todo lugar; a única coisa que muda é qual credencial você entrega a ele.
--activation-keyrecebe a chave reutilizável da aba Activation keys. Qualquer número de máquinas pode usá-la, dentro do limite que você definiu; cada uma se registra com o seu próprio hostname e a sua própria identidade. É a escolha certa para rollouts e automação, e o caminho que este guia segue.--tokenrecebe o token de uso único de Enroll a single server, na aba Agents. Ele é exibido uma única vez, funciona para exatamente uma máquina, e você dá o nome do agente de antemão. É a escolha certa para um primeiro teste em um ou dois hosts.
Troque uma flag pela outra e todo o resto dos comandos abaixo permanece exatamente igual.
Windows
Descompacte o zip a partir de um PowerShell elevado. Um PowerShell elevado
abre em C:\Windows\System32, então a linha abaixo muda primeiro para a
pasta Downloads; se você salvou o pacote em outro lugar, faça cd para
lá (troque amd64 por arm64 em hosts ARM64):
cd $env:USERPROFILE\Downloads; Expand-Archive .\wasviking-sentinel-host_<version>_windows-amd64.zip -DestinationPath .\wasviking-sentinel-host -Force; cd .\wasviking-sentinel-host
Depois, a partir da pasta descompactada, execute o comando de instalação:
.\wasviking-sentinel-host.exe install --activation-key <your-activation-key>
Ou, com um token de uso único da aba Agents:
.\wasviking-sentinel-host.exe install --token <your-one-time-token>
O executável se copia para Program Files, registra o host e inicia o serviço do Windows. Sem scripts, então a execution policy nunca atrapalha.
Para parques há um segundo caminho, totalmente desassistido, na mesma página: o pacote MSI (x64). Distribua-o por política de grupo ou pela ferramenta de gerenciamento de dispositivos que você já usa, com a chave de ativação passada como propriedade do instalador, e cada servidor se registra sozinho, sem interação:
msiexec /i wasviking-sentinel-host_<version>_amd64.msi /qn WVH_ACTIVATION_KEY=<your-activation-key>
Enquanto estiver testando o rollout, acrescente /l*v C:\wvh-install.log
à linha: o msiexec falha em silêncio com /qn, e o log responde o
porquê em segundos.
Linux
Como root, em x86_64 ou ARM64:
tar -xzf wasviking-sentinel-host_<version>_linux-amd64.tar.gz
sudo ./wasviking-sentinel-host install --activation-key <your-activation-key>
O agente se registra e inicia sob o systemd.
macOS
O mesmo fluxo de um comando em Intel ou Apple Silicon, iniciado sob o launchd:
tar -xzf wasviking-sentinel-host_<version>_darwin-arm64.tar.gz
sudo ./wasviking-sentinel-host install --activation-key <your-activation-key>
Em produção, o comando é só isso
Os comandos acima são completos para uma instalação em produção: o agente
já vem sabendo como alcançar a nuvem da WASViking, e tudo o mais de que
ele precisa, certificados inclusive, chega durante o registro. Você pode
encontrar, em outros lugares, exemplos que trazem as flags --api,
--grpc e --tls-server-name, ou as propriedades de MSI WVH_API,
WVH_GRPC e WVH_TLS_SERVER_NAME. Essas substituições existem apenas
para ambientes apontados para um endpoint diferente da WASViking, como um
ambiente de avaliação combinado com o seu contato na WASViking. A menos
que você tenha recebido explicitamente endpoints personalizados, deixe-as
de fora. E, na dúvida, confie na página de instalação: ela sempre mostra o
comando exato para a sua organização, pronto para copiar como está.
Mais um hábito que vale manter: para atualizar uma máquina que já está
registrada, execute install sem nenhuma credencial; o agente reaproveita
o registro e a identidade. Na prática, raramente você vai precisar sequer
disso: quando uma nova versão do agente é lançada, o console oferece uma
atualização com um clique por agente, ou para toda a seleção de uma vez.
Passo 4: conheça o seu parque
De volta a Sentinel Hosts → Agents, cada máquina registrada aparece imediatamente com o seu sistema operacional, IP, versão do agente, política e status. Windows Server e Windows 10/11, Ubuntu, Debian, a família RHEL e macOS ficam todos na mesma tabela, cada um com o seu ícone, então um parque misto continua legível de relance. No menu da linha você pode executar um inventário sob demanda, solicitar os logs do agente, reiniciá-lo ou desinstalá-lo remotamente; as tags permitem recortar o parque do jeito que a sua equipe pensa nele ("servidores web", "zona de pagamentos", "staging").
Poucos minutos depois do primeiro inventário, cada host também aparece na tela Assets, e a primeira avaliação vem em seguida: pacotes correlacionados com vulnerabilidades publicadas, atualizações de segurança ausentes, verificações de configuração e a pontuação.
Passo 5: leia a pontuação e depois diga à plataforma o que o host é
Abra qualquer host na tela Assets. O Asset Summary mostra o Viking Exposure Score com cada fator e os seus pontos listados ao lado, então o número nunca é um mistério: pior vulnerabilidade aberta, evidência de exploração, exposição, atualizações pendentes, estado de fim de vida.
Duas entradas aqui são suas, e ambas alteram a pontuação: em Edit business context, defina o ambiente (produção eleva o que está em jogo, staging reduz) e a criticidade do ativo. A exposição à internet você pode deixar no automático: a descoberta de superfície de ataque da própria plataforma a comprova, indica a evidência na tela, e uma escolha manual sempre prevalece se você discordar.
Passo 6: registre as regras como políticas
Abra Infrastructure Defense → Policies. Uma política declara exatamente até onde a plataforma pode ir nos hosts sob ela: quais avaliações rodam, se a plataforma pode recomendar e criar jobs de patch, se uma pessoa precisa aprová-los (ativado por padrão), se algo pode em algum momento ser implantado ou reiniciar automaticamente (ambos desativados por padrão) e a janela de manutenção em que mudanças são permitidas. Atribua uma política por chave de ativação, por agente ou em massa pela aba Agents. A política padrão já vem segura: avaliar tudo, não mudar nada sem aprovação.
A mesma política carrega o perfil de desempenho e proteção de recursos dos seus hosts: escolha Conservative para produção crítica (um décimo da máquina, avaliação duas vezes por dia, o trabalho espera assim que o host fica ocupado), Balanced para o parque em geral, Performance para desenvolvimento, ou Custom para definir cada número você mesmo, incluindo uma janela de atividade reduzida no horário local do host (08:00 a 18:00 mantém o horário comercial tranquilo). O agente impõe a fatia de CPU como um limite rígido no Linux e no Windows e como prioridade de escalonamento no macOS, e adia avaliações agendadas e jobs de patch aprovados enquanto o host está acima dos limites que você definiu. A página de cada ativo mostra o que o agente reporta.
Passo 7: encaminhe os resultados para a sua equipe
Em Alert Destinations, ative o evento Infrastructure patch job nos canais que a sua equipe acompanha (Slack, Teams, e-mail ou webhook). Um job verificado se anuncia com os números medidos (pontuação antes e depois, vulnerabilidades fechadas); um job que falhou chega com o motivo. Decisões tomadas por uma pessoa no portal, como rejeitar um job, deliberadamente nunca são divulgadas.
Passo 8: execute a sua primeira remediação
Quando a primeira avaliação chegar, abra o Resolve. As ações recomendadas agrupam as atualizações de segurança pendentes por host, ordenadas pela redução de pontuação que se espera delas. Agende uma, aprove-a (executar agora, ou deixar esperar pela janela de manutenção) e acompanhe o ciclo terminar de forma honesta: o agente roda verificações prévias, aplica as atualizações pelo mecanismo nativo da plataforma, e o job só é concluído quando o inventário seguinte comprova quais vulnerabilidades foram fechadas e quanto a pontuação caiu. Se ainda houver um reboot pendente, o job diz isso em vez de cantar vitória antes da hora.
O que ver em seguida
- Configuration e Compliance mostram os resultados das verificações alinhadas ao CIS e o percentual de conformidade por host e para o parque.
- Software responde a perguntas de inventário em todo o parque, até o nível de quais hosts rodam um pacote e uma versão específicos.
- Download report, na Overview, exporta o PDF com a marca: postura do parque, redução de risco verificada e principais riscos, pronto para um stakeholder que nunca vai abrir o portal.
- Coverage, a terceira aba de Assets, cruza a sua Attack Surface com o parque: quais dos seus ativos expostos à internet são servidos por um host que você gerencia, e o próximo passo para os que não são. Veja Coloque seus ativos voltados para a internet sob gerenciamento.
- Roll back this change, em um job concluído, desfaz uma atualização que se comportou mal, com a mesma aprovação e um veredito medido. Veja Reverter uma mudança que deu problema.
Para o quadro completo do que o módulo avalia e de como a pontuação é construída, veja Infrastructure Defense em Capacidades.