Por que o atalince começa em Somente monitoramento

Quando você instala o agente, o servidor aparece no painel em alguns segundos, já enviando eventos. Mas ele não bloqueia nada. Todo servidor começa em Somente monitoramento, e isso é de propósito.

O risco número um é você mesmo

A forma mais comum de uma ferramenta de bloqueio dar errado não é deixar um ataque passar. É bloquear o próprio administrador. Basta errar a senha algumas vezes, ou ter um script de deploy que abre muitas conexões, e a regra que deveria proteger o servidor tranca você do lado de fora.

Por isso, o primeiro passo depois de instalar é adicionar o seu IP, ou a rede do escritório, aos IPs permitidos. Endereços permitidos nunca são bloqueados. A tela de servidor conectado já sugere isso antes de qualquer outra coisa.

Conhecer o ruído antes de agir

Cada servidor tem o seu ruído de fundo. Um servidor de e-mail recebe tentativas de login o dia inteiro. Uma API pública recebe varreduras de caminhos como /.env e /wp-login.php sem nunca ter rodado WordPress. Um servidor de CI pode parecer um ataque visto de fora.

Observar por um tempo mostra o que é normal ali. Você vê quais sensores estão gerando eventos, quais origens se repetem e se existe algo legítimo que precisa ir para os IPs permitidos antes de ligar a proteção.

Conferir que os sensores estão lendo

O painel mostra três sinais por servidor: Comunicação, Sensor e Proteção. Em Somente monitoramento, o sinal de Proteção mostra “monitorando”. Os outros dois já precisam estar verdes.

Se o Sensor mostra “Sem leitura”, ligar a proteção não adianta: o agente não está vendo os logs, então não vai detectar nada para bloquear. Antes de seguir, resolva a fonte. Em servidores sem /var/log/auth.log, por exemplo, o SSH é lido pelo journald.

Ligar a proteção

Com o seu IP permitido e os sensores lendo, use Ativar proteção na página do servidor. A partir daí, os sensores de serviço (SSH, web, e-mail, FTP e bancos de dados) pedem bloqueios, e cada um passa pela trilha de verificação.

Os detectores de rede (varredura de portas e flood) e de integridade continuam só registrando, mesmo com a proteção ligada. São sinais úteis, mas fáceis de disparar por engano, e um bloqueio automático baseado neles faria mais mal do que bem.

Um roteiro curto

1. Instale e confirme que o servidor apareceu.
2. Adicione o seu IP aos permitidos.
3. Deixe observando por algumas horas, ou um dia, se o servidor for crítico.
4. Confira que Comunicação e Sensor estão verdes.
5. Ative a proteção e acompanhe os primeiros bloqueios pela trilha.

O guia completo está em Primeiros passos.