Arquitetura do Sentinel

O modelo de segurança do agente Sentinel. Apenas de saída na porta 443, TLS mútuo, releases assinadas e menor privilégio no host.

O WASViking^® Sentinel é um agente que você instala em um host dentro da sua rede para que a WASViking possa escanear alvos internos. Ele abre uma conexão criptografada de saída até a WASViking, e nada na internet se conecta para dentro.

Rede

• Apenas de saída. O agente se conecta a sentinel.wasviking.com na porta TCP 443.
• Nenhuma porta de entrada. Não é preciso abrir firewall, fazer allowlist de IP estático nem usar VPN.
• Sem interceptação de TLS. A conexão precisa chegar diretamente à WASViking. Um proxy que inspeciona TLS quebra a autenticação mútua.
• Relatórios de saúde. A partir da versão 1.24.0, o agente também envia um relatório de saúde por minuto pela mesma conexão de saída, com números sobre o host e o túnel, além do nome do sistema operacional e da versão do kernel. O relatório não traz conteúdo de requisições ou respostas, nem dados dos alvos, nem a lista de processos, e é mantido por sete dias (veja Saúde do host e do túnel).

Identidade e criptografia

• TLS mútuo. O agente e a WASViking se autenticam com certificados. O certificado do agente é emitido quando você o registra e fica vinculado à sua organização.
• Rotação de certificados. Os certificados são rotacionados de forma programada, e você pode rotacioná-los ou revogá-los a qualquer momento pelo portal.
• Fronteira da organização. Um agente só recebe trabalho da própria organização e não alcança os dados de nenhuma outra.
• Conteúdo sensível fica fora dos logs. Cookies, tokens CSRF e o conteúdo dos alvos internos não são gravados em log.

Releases assinadas

Toda release é assinada. Antes de instalar, verifique o download com o checksum SHA-256 e a assinatura exibidos no portal. Veja Instalação do agente Sentinel.

As atualizações pelo portal seguem a mesma regra. O agente só instala pacotes assinados pela WASViking: ele verifica a assinatura e o checksum, e um instalador separado, com direitos de administrador no host, verifica os dois de novo antes de instalar. Downgrades são recusados, o agente continua rodando com a própria conta de serviço sem privilégios, e o administrador do host pode desligar as atualizações remotas. Veja Atualização pelo portal.

Menor privilégio no host

O agente roda como um serviço de sistema dedicado, apenas com os privilégios de que precisa. O serviço é endurecido contra escalada de privilégios e não pode modificar o sistema operacional.

Plataformas suportadas

O que o agente faz

• Scan interno. As mesmas verificações de DAST usadas em alvos externos rodam contra os seus alvos internos. Veja Scans internos.
• SBOM, secrets e gates de CI pela linha de comando. Veja as outras páginas desta seção.

Solução de problemas

A página Sentinel Agents do portal mostra o estado de cada agente e o último contato. Para correções passo a passo, veja a seção de solução de problemas de Instalação do agente Sentinel.