· 2 min de lectura · primeros pasos
Por qué atalince empieza en Solo monitoreo
Todo servidor nuevo observa antes de bloquear. Los motivos, y qué hacer en esos primeros minutos.
Cuando instalas el agente, el servidor aparece en el panel en segundos, ya enviando eventos. Pero no bloquea nada. Todo servidor empieza en Solo monitoreo, y es a propósito.
El riesgo número uno eres tú
La forma más común en que una herramienta de bloqueo sale mal no es dejar pasar un ataque. Es bloquear al propio administrador. Basta con equivocarse de contraseña unas cuantas veces, o tener un script de deploy que abre muchas conexiones, y la regla que debía proteger el servidor te deja afuera.
Por eso, el primer paso después de instalar es agregar tu IP, o la red de la oficina, a las IPs permitidas. Las direcciones permitidas nunca se bloquean. La pantalla de servidor conectado lo sugiere antes que cualquier otra cosa.
Conocer el ruido antes de actuar
Cada servidor tiene su ruido de fondo. Un servidor de correo recibe intentos de login todo el día. Una API pública recibe sondeos de rutas como /.env y /wp-login.php sin haber corrido WordPress nunca. Un servidor de CI puede parecer un ataque visto desde afuera.
Observar un tiempo muestra qué es normal ahí. Ves qué sensores generan eventos, qué orígenes se repiten y si hay algo legítimo que debe ir a las IPs permitidas antes de activar la protección.
Comprobar que los sensores leen
El panel muestra tres señales por servidor: Comunicación, Sensor y Protección. En Solo monitoreo, la señal de Protección dice “monitoreando”. Las otras dos ya deberían estar en verde.
Si Sensor muestra “Sin lectura”, activar la protección no sirve: el agente no está viendo los logs, así que no detectará nada para bloquear. Resuelve la fuente primero. En servidores sin /var/log/auth.log, por ejemplo, SSH se lee desde journald.
Activar la protección
Con tu IP permitida y los sensores leyendo, usa Activar protección en la página del servidor. Desde ahí, los sensores de servicio (SSH, web, correo, FTP y bases de datos) piden bloqueos, y cada uno pasa por la ruta de verificación.
Los detectores de red (escaneo de puertos y flood) y el de integridad siguen solo registrando, incluso con la protección activa. Son señales útiles, pero fáciles de disparar por error, y un bloqueo automático basado en ellas haría más mal que bien.
Una lista corta
- Instala y confirma que el servidor apareció.
- Agrega tu IP a las permitidas.
- Déjalo observando unas horas, o un día si el servidor es crítico.
- Comprueba que Comunicación y Sensor están en verde.
- Activa la protección y sigue los primeros bloqueos por la ruta.
La guía completa está en Primeros pasos.