Häufig gestellte Fragen (FAQ)

RoamSwitch für Linux ist eine kostenlose Zero-Trust-Sicherheitssoftware zur autonomen Netzwerkverteidigung und Systemprüfung unter Linux mit strikter Zero Telemetry-Architektur. Sie vereint automatische nftables-Profilumschaltung, Ransomware-Isolation, 27-Punkte-Systemprüfung und MCP-KI-Integration in einer leichtgewichtigen Binärdatei.

Während bestehende Programme passive Datei-Scans oder manuelle Audits durchführen, fokussiert sich RoamSwitch auf autonome Echtzeit-Automatisierung: blitzschnelle nftables-Regelanpassung bei Netzwerkwechseln und automatische Isolierung bei Bedrohungen.

Die Kern-Binärdatei ist proprietäre Freeware (Community Edition, Closed Source). Die Client-SDKs (Rust/Python) und MCP-Definitionen sind jedoch als Open Source auf GitHub verfügbar.

Lafine legt die genauen Prüfmethoden für Paketmitschnitte und Systemaufrufe in einem Whitepaper offen. Nutzer können mit tcpdump oder eBPF selbst nachprüfen, dass keinerlei Informationen über sie oder ihr Gerät nach außen gesendet werden (die einzige ausgehende Verbindung im Standard ist ein tägliches Update, das nur signierte Daten empfängt).

Es garantiert, dass niemals Sicherheitsprotokolle, Systemdaten, Verbindungsdaten oder Prüfergebnisse an externe Server (einschließlich Lafine) gesendet werden. Die gesamte Verarbeitung erfolgt zu 100 % lokal auf Ihrem Linux-System.

RoamSwitch prüft die Gateway-MAC-Adresse des Netzwerks in Millisekunden und aktiviert automatisch maßgeschneiderte nftables-Regeln für Zuhause (Trusted), Büro (Balanced) oder öffentliche Netzwerke (Lockdown).

Wird die Manipulation einer Canary-Datei (Köder) erkannt, trennt RoamSwitch im Notfall den gesamten externen Verkehr (Air-Gap) und die Freigabedienste, damit sich der Schaden nicht im LAN ausbreitet. Erkennen fanotify/inotify mit Shannon-Entropieanalyse einen schnellen Verschlüsselungs-Burst, friert RoamSwitch den betreffenden Prozess sofort per SIGSTOP ein und benachrichtigt Sie und trennt ebenso im Notfall den gesamten externen Verkehr (Air-Gap) und die Freigabedienste.

Beim Anschließen unautorisierter USB-Speicher blockiert udev das Einhängen bis zur Bestätigung. Bei BadUSB-Geräten greift evdev (EVIOCGRAB) Tastatureingaben temporär exklusiv ab und zeigt einen Bestätigungsdialog an, ohne den physischen Port zu trennen.

In unsicheren Netzwerken wird automatisch ein WireGuard- (.conf) oder Tailscale-Tunnel (Exit Node) aufgebaut. Der nftables-Kill-Switch verhindert zuverlässig Klartext-Datenlecks (fail-closed, Opt-in).

Ziel-Hostnamen werden aus lokalen DNS-Anfragen, TLS SNI und HTTP-Host-Headern extrahiert und mit lokalen Bedrohungslisten abgeglichen, um Phishing-Verbindungen zu blockieren (ohne URLs an Cloud-Dienste zu senden).

Ubuntu 22.04/24.04, Debian 12+, Linux Mint, Pop!_OS, Fedora, RHEL, CentOS Stream, openSUSE, Arch Linux und Raspberry Pi OS (64-Bit) – alle Distributionen mit systemd und nftables.

Über offizielle Repositories: APT für Ubuntu/Debian (lafine.net/apt), DNF für Fedora/RHEL (lafine.net/rpm), zypper für openSUSE (lafine.net/rpm) sowie PKGBUILD / signierte Tarballs für Arch Linux (lafine.net/linux/dl/).

Ja. Neben einer nativen GTK-Oberfläche und Tray-Icon stehen alle Funktionen über den Hintergrund-Dämon, die CLI 'roamswitch' und das MCP-Interface uneingeschränkt zur Verfügung.

Die Client Edition (dieser Tab) ist für Roaming-Geräte optimiert – Workstations und Laptops, die zwischen Netzwerken wechseln. Für einen Cloud-VPS oder Server im Rechenzentrum verwenden Sie stattdessen das dedizierte, headless roamswitch-server-Paket (ebenfalls kostenlos, separat verteilt). Es enthält serverspezifische Funktionen wie eingehendes Default Drop, Schutz vor SSH-Aussperrung und eBPF-Einbruchserkennung. Details finden Sie im Tab „🖧 Linux Server Edition".

Ja, es ist bereits veröffentlicht und wie die Client Edition kostenlos nutzbar (Community Edition, alle Funktionen enthalten, keine Lizenzaktivierung erforderlich). Die Installation erfolgt separat als roamswitch-server-Paket über APT / DNF / zypper / AUR.

Über „🧰 Wiederherstellung und Deinstallation“ → „🗑 RoamSwitch deinstallieren…“ im Tray, den Befehl sudo roamswitch uninstall oder einen Paketmanager wie apt remove (ab Version 1.10.7). Auf jedem Weg macht RoamSwitch vor dem Entfernen alle Änderungen am Netzwerk rückgängig (Firewall-Tabellen, ARP-Sperre für das Gateway, DNS und weitere), sodass die Verbindung nicht unterbrochen bleibt. Einzelheiten finden Sie unter Deinstallationsschritte.

Sie analysiert 27 Parameter: Secure Boot, LUKS-Verschlüsselung, LSM (AppArmor/SELinux), Sicherheitsupdates, SSH/Sudo-Härtung, sysctl-Kernel-Parameter, offene Ports, Browser-Sicherheit, ARP-Pinning und DNS-Schutz (Score: 0–100).

Über das GTK-Dashboard oder im Terminal mit dem Befehl 'roamswitch status' für einen detaillierten Textbericht.

roamswitch-mcp ist eine standardisierte Schnittstelle, über die KI-Modelle wie ChatGPT, Claude, Cursor und Antigravity den Linux-Sicherheitsstatus sicher abfragen können.

Fragen Sie die KI auf Deutsch: 'Wie steht es um meine Systemsicherheit?' oder 'Gibt es gefährliche offene Ports?' Die KI analysiert die lokalen Diagnosedaten und liefert präzise Handlungsempfehlungen.

Nein. Der Server arbeitet rein lokal über stdio und ist strikt schreibgeschützt (Read-Only). KIs können weder Firewall-Regeln anpassen noch Systemdateien modifizieren.

A. Vermutlich nicht defekt — RoamSwitchs BadUSB-Tastaturschutz blockiert möglicherweise vorübergehend die Eingaben einer nicht auf der Zulassungsliste stehenden Tastatur und zeigt einen Freigabedialog an. Wählen Sie dort „Zulassen“, um die Tastatur zu registrieren und die Eingabe wiederherzustellen. Erfolgt innerhalb von 3 Minuten keine Reaktion, wird die Eingabe automatisch freigegeben (damit ein Headless-System nie ausgesperrt bleibt). Falls der Dialog nicht erscheint, Tastatur aus- und wieder einstecken.

A. Ja — ausgehender Datenverkehr wie Webbrowsing und Paket-Updates wird auf keiner Schutzstufe eingeschränkt. Die drei Stufen unterscheiden sich darin, wie viel unaufgeforderten eingehenden Datenverkehr nftables zulässt. open ist für ein Heimnetzwerk gedacht und erlaubt lokalen Datenverkehr. balanced eignet sich für Arbeitsnetzwerke oder Tethering — es überwacht verdächtige Ports, ohne die normale Nutzung zu behindern. lockdown ist für öffentliches WLAN gedacht und blockiert im Stealth-Modus jeglichen eingehenden Datenverkehr. Auf keiner Stufe wird von Ihnen selbst initiierter Datenverkehr (Browsing, ausgehende SSH-Client-Verbindungen usw.) blockiert.

Teils ja; ein Teil gibt es nur in der Server Edition.

Was auf dem Client wirkt
Eingehender Verkehr wird standardmäßig abgewiesen (die Schutzstufe richtet sich nach der Art des Netzwerks). Dazu kommen Erkennung und Sperrung von Portscans, Erkennung unbekannter lauschender Ports, Sicherheitslog-Audit, die Ransomware-Köder (Canary), die Köder-Zugangsdaten (Honeytokens), Manipulationsüberwachung wichtiger Dateien (FIM) und Überwachung von Autostart-Einträgen (Persistenz). Benachrichtigungen sind Desktop-Benachrichtigungen und bleiben im Verlauf erhalten. Auf dem Mac sind die meisten davon Pro-Funktionen und schalten sich beim Aktivieren von Pro automatisch ein.

SSH-Brute-Force
Die sofortige Sperre wirkt nur, solange die Remote-Anmeldung (sshd) eingeschaltet ist (pf auf dem Mac, nftables unter Linux). Auf einem Gerät, auf dem sshd nicht läuft, wird nichts gelesen und nichts geändert.

Ein Hinweis aus der FIM
Die Benachrichtigung über eine manipulierte wichtige Datei enthält einen Hinweis auf eine SSH-Anmeldung. Unter Linux wird sie über den ändernden Prozess der SSH-Anmeldung zugeordnet, zu der er gehört. Der Mac kann das nicht, weil macOS nicht sagt, welcher Prozess eine Datei geschrieben hat: Er listet nur die SSH-Anmeldungen auf, die rund um die Änderung begannen. Das ist ein Hinweis aus zeitlicher Überschneidung, kein Beweis, dass diese Anmeldung die Änderung vorgenommen hat.

Was es nur in der Server Edition gibt
Die Erkennung per eBPF (wenn ein Sensor wie Falco installiert ist) gibt es im Linux-Client und nicht auf dem Mac. Die eigene Reverse-Shell-Erkennung von RoamSwitch gibt es nur in der Server Edition.

Eine vollständig headless (ohne jede GUI-Abhängigkeit) autonome Verteidigungs- und Sicherheits-Suite für Cloud-VPS, On-Premise-Rechenzentren und Container-Hosts. Sie wird als eigenes Paket und eigene Binärdatei, roamswitch-server, getrennt von der Client Edition (roamswitch) bereitgestellt. Sie bietet eingehendes Default Drop, Schutz vor SSH-Aussperrung, eBPF-Einbruchserkennung, kritische-Pfad-FIM (Manipulationsüberwachung), Egress-/C2-Blockierung und Notfallbenachrichtigungen – alles in einem einzigen leichtgewichtigen systemd-Daemon.

Die Client Edition konzentriert sich auf Roaming: Sie erkennt Änderungen des WLANs, mit dem Sie verbunden sind (per Gateway-MAC), und wechselt autonom zwischen drei Firewall-Profilen. Die Server Edition geht von keiner Netzwerkmigration aus und setzt stattdessen standardmäßig auf ein dauerhaft aktives eingehendes Default Drop, mit Schutz des SSH-Verwaltungspfads, Verhinderung von Container-Port-Exposition und Kernel-Ebene-eBPF-Einbruchserkennung (Falco oder Tetragon) – Bedrohungen, die speziell für dauerhaft laufende Server relevant sind. Es gibt keine GUI und kein Tray-Symbol; die Bedienung erfolgt über die CLI (den Befehl roamswitch), Konfigurationsdateien und MCP.

Wie die Client-Edition ist die Community Edition kostenlos, enthält alle Funktionen und braucht keine Lizenzaktivierung. Für Organisationen, die viele Server zentral verwalten wollen, ist eine kostenpflichtige Stufe RoamSwitch Business (Fleet-Management, signierte Richtlinienverteilung, SLA-Support) geplant, aber noch nicht verfügbar. Der Endpunktschutz selbst ist in der kostenlosen Edition enthalten.

Ja. Kommunikationsinhalte, Verbindungsverlauf, Diagnoseergebnisse und Ähnliches werden auch standardmäßig niemals nach außen übertragen. Standardmäßig gibt es nur Updates über den Paketmanager Ihres Betriebssystems (apt/dnf/zypper) und einen anonymen, rein empfangenden Abruf signierter Daten (die Kernel-CVE-Daten, die Web-Regeln und, auf Ubuntu-Servern, die Ubuntu-Paket-CVE-Daten für den CVE-Abgleich der OS-Pakete; ein HTTPS-GET an lafine.net ohne Informationen über den Host; das signierte Manifest wird täglich geprüft, die CVE-Daten selbst etwa alle 30 Tage; abschaltbar mit roamswitch server config set cve_kernel_map_updates_enabled false). Benachrichtigungen, Ereignisweiterleitung, npm-Signaturprüfung und Ähnliches kommunizieren nur, wenn der Betreiber sich ausdrücklich dafür entschieden hat. Der Daemon enthält keine Bibliothek für externe Kommunikation; das wird zur Build-Zeit durch ein Audit-Skript (audit_no_network.sh) verifiziert. Die vollständige Liste der Ausnahmen steht im Abschnitt Zero Telemetry des Sicherheits-Whitepapers zur Server Edition.

Unterstützt werden Ubuntu 22.04/24.04, Debian 12+, Fedora, RHEL, Rocky Linux, AlmaLinux, openSUSE und Arch Linux (jeweils vorausgesetzt: systemd + nftables). Sowohl x86_64 als auch aarch64 (einschließlich AWS Graviton) werden unterstützt.

Die Installation erfolgt aus denselben offiziellen Repositories wie bei der Client Edition, lediglich mit einem anderen Paketnamen: sudo apt install roamswitch-server (Ubuntu/Debian), sudo dnf install roamswitch-server (Fedora/RHEL-Familie), sudo zypper install roamswitch-server (openSUSE). Da das Paket in gegenseitigem Conflicts-Verhältnis zur Client Edition (roamswitch) steht, können beide nicht gleichzeitig auf demselben Host installiert werden.

Starten Sie den interaktiven Einrichtungsassistenten mit sudo roamswitch server setup. Er führt Sie nacheinander durch den SSH-Verwaltungsport, die IP-Adressen für den Wartungszugang, die Kanäle für Notfallbenachrichtigungen (Telegram/LINE/Webhook) sowie die bei einem kritischen eBPF-Ereignis auszuführende Aktion (isolate/freeze/alert_only) und sendet abschließend eine Testbenachrichtigung sowie startet den Dienst neu.

Führen Sie nach dem Bearbeiten von /etc/roamswitch/server.conf den Befehl sudo roamswitch server restart aus. Die Unit roamswitch-server.service unterstützt kein Neuladen der Konfiguration über systemctl reload – nur ein vollständiger restart ist möglich.

Dies ist optional. Wenn Sie /etc/roamswitch/guard.yaml anlegen, können Sie für jeden Schweregrad von Falco/Tetragon (warning/error/critical/emergency) eine eigene Eindämmungsaktion (nur Benachrichtigung / Prozess isolieren / gesamten Host isolieren) sowie einen eigenen Safety-Timer festlegen. Existiert die Datei nicht, wird automatisch eine gleichwertige Richtlinie aus action_on_critical in server.conf zusammengestellt, sodass bestehende Installationen davon unberührt bleiben. Eine Vorlage liegt unter /etc/roamswitch/guard.yaml.example.

Von der Installation an werden alle eingehenden Verbindungen abgelehnt, außer den in allowed_ports (Standard 80, 443) explizit erlaubten Ports. So wird verhindert, dass ein unbeabsichtigt offener Verwaltungs- oder Debug-Port versehentlich im Internet exponiert wird.

Es gibt mehrere Schutzebenen: (1) Bestehende ESTABLISHED/RELATED-Verbindungssitzungen bleiben stets erhalten. (2) ssh_ports (Standard 22) wird bedingungslos immer erlaubt. (3) Selbst bei einer Notfall-Host-Isolation (Air-Gap) bleibt dank preserve_ssh_on_isolation=true (Standard) die SSH-Sitzung des Administrators erhalten. (4) Bei ungültiger Konfigurationssyntax oder einem fehlgeschlagenen nftables-Laden erfolgt automatisch ein Rollback auf den zuletzt funktionierenden Regelsatz. Die Server-Edition bis 1.10.4 hatte einen Fehler. Der Isolationsregelsatz verwarf die SSH-Antworten, sodass das SSH des Betreibers während der Isolation nicht funktionierte. In 1.10.5 wurde er behoben.

Ja. Docker erstellt bei Verwendung der Option -p standardmäßig eigene iptables-Regeln, wodurch die Standard-Firewall des Hosts umgangen und ein Container-Port direkt im Internet exponiert werden kann. Mit protect_docker_ports=true (Standard) fügt RoamSwitch eine Prüfregel am Anfang der DOCKER-USER-Chain ein, sodass auch für Container bestimmter Datenverkehr den Richtlinien von allowed_ports / whitelist_ips unterliegt.

Melden Sie sich über die Web-Verwaltungskonsole Ihres Cloud-Anbieters (VNC-/Serial-Konsole) an und führen Sie sudo roamswitch emergency-restore aus, um die Firewall auf die zuletzt funktionierende Baseline zurückzusetzen und jede Notfallisolation aufzuheben, oder führen Sie sudo systemctl stop roamswitch-server aus, um den Dienst vollständig zu stoppen.

Diese Funktion arbeitet mit im Kernel-Space laufenden eBPF-Sensoren zusammen und erkennt Reverse Shells, Privilege Escalation und Container-Ausbrüche in Echtzeit. Der Standardsensor ist Falco (JSONL über einen UNIX-Domain-Socket), aber mit sensor.type: tetragon in guard.yaml lässt sich auf Cilium Tetragon (natives gRPC über denselben UNIX-Socket) umschalten. Keiner der beiden öffnet einen neuen Listening-Port.

Je nach action_on_critical (oder der Richtlinie in guard.yaml) wird automatisch eine der folgenden Aktionen ausgelöst: isolate (den betroffenen Prozess vom Netzwerk isolieren), freeze (den Prozess per SIGSTOP einfrieren und zugleich vom Netzwerk isolieren) oder alert_only (nur benachrichtigen). Mit kill_process: true wird zusätzlich zur Isolation auch SIGKILL gesendet. Grundlegende Daemons – init, Container-Runtimes, Paketmanager und weitere – sind über eine Liste geschützter Prozesse stets von Einfrieren und Beenden ausgenommen.

Es handelt sich um die Karenzzeit nach Auslösen einer Notfall-Host-Isolation (Air-Gap), innerhalb derer der Administrator dies mit sudo roamswitch server ack bestätigen muss (safety_timer_secs in guard.yaml, Standard 300 Sekunden). Bleibt die Bestätigung aus, stellt RoamSwitch den Netzwerkzugriff automatisch wieder her, damit ein Fehlalarm den Server nicht auf unbestimmte Zeit vom Netz trennt.

Es werden SHA-256-Hashes von über 150 kritischen Binärdateien, Authentifizierungskonfigurationen und systemd-Units überwacht. Dateien werden einzeln über fanotify (FAN_CLASS_NOTIF)-Schreibabschluss-Ereignisse überwacht, sodass eine Manipulation im Moment ihres Auftretens erkannt wird, statt auf den nächsten periodischen Scan zu warten (der als Rückfallebene weiterhin besteht). Bei einem legitimen OS-Paket-Update wird die Baseline automatisch neu synchronisiert – über den DPkg::Post-Invoke-Hook unter Debian/Ubuntu bzw. die systemd.path-Unit unter Fedora/RHEL/openSUSE –, um Fehlalarme zu vermeiden.

Diese Funktion prüft periodisch die Integrität von Köderdateien, die in Web-Roots (/var/www, /srv usw.) platziert werden. Wird eine Köderdatei unbefugt verändert oder verschlüsselt, identifiziert RoamSwitch den zugreifenden Prozess, friert ihn ein, isoliert ihn und sendet eine Notfallbenachrichtigung an den Administrator.

Egress-Blockierung (egress_ip_blocklist_enabled, Standard true, das mitgelieferte Seed enthält nur die drei von JPCERT/CC veröffentlichten Angriffsserver, sonst wird ohne eingespielten Feed nichts blockiert) blockiert ausgehende Verbindungen zu bekannten bösartigen IP-Adressen über nftables. Der DNS-Sinkhole (dns_sinkhole_enabled, Standard false, um interne DNS- bzw. Split-Horizon-Umgebungen nicht zu beeinträchtigen) erzwingt die Auflösung über einen filternden DNS-Resolver (Quad9/Cloudflare/AdGuard/CleanBrowsing) und unterbindet so auch die Auflösung bösartiger Domains.

Unterstützt werden Telegram Bot, die LINE Messaging API sowie generische Webhooks (Slack / Discord / Microsoft Teams / Ihre eigene Monitoring-Plattform). Bei schwerwiegenden Vorfällen – unautorisierte Port-Exposition, FIM-Manipulation, eBPF-Bedrohungserkennung oder eine ausgelöste Notfallisolation – werden Benachrichtigungen sofort versendet. Mit roamswitch server test-notify können Sie Ihre Konfiguration überprüfen.

In den meisten Fällen fehlt der Chat-ID der Supergruppe das erforderliche -100-Präfix (z. B. -1001234567890). Den korrekten Wert finden Sie im Feld "chat":{"id":...} der Antwort von curl -s "https://api.telegram.org/bot<token>/getUpdates".

Dies lässt sich mit roamswitch status --server ausführen. Es prüft in einem Durchgang 34 an den CIS Benchmark angelehnte Punkte – Firewall-Status, Frag-Gap-Schutz (Deaktivierung unprivilegierter User-Namespaces), Yama-LSM-Speicherschutz, Berechtigungen kritischer Dateien, Docker-Exposition und mehr – und zeigt einen Sicherheits-Score von 0 bis 100 sowie eine Bewertungsnote (S bis C) an.

Nein. Der mitgelieferte roamswitch-mcp ist als „strikt schreibgeschützt" konzipiert (nur Tools zum Abrufen von Status und für Audits). Selbst wenn die Logs einer Webanwendung eine bösartige Prompt-Injection enthielten, könnte ein KI-Agent darüber weder die Firewall öffnen noch eine Isolation aufheben. Richtlinienänderungen und das Aufheben eines eingefrorenen Prozesses erfordern immer die explizite Ausführung eines Befehls über ein lokales TTY (ein SSH-Terminal).

Dies sind geplante Funktionen und derzeit nicht verfügbar. Vorgesehen sind Fleet-Management (mehrere Server mit einem Ed25519-signierten Organisations-Token registrieren und Schutzstufe, Health-Score und Richtlinienstatus aggregieren), signierte Richtlinienverteilung (vertrauenswürdige Netzwerke und erzwungene Werte je Guard als signiertes JSON), ein privates APT/RPM-Repository mit organisationsspezifischem GPG-Schlüssel sowie vertraglicher SLA-Support. Einen Verwaltungsserver oder Fleet-Management gibt es derzeit nicht. Der Endpunktschutz selbst ist in der kostenlosen Edition enthalten und wird in Business nicht reduziert.

Derzeit richtet sich dies an eigenständige Docker-/Podman-Hosts. Die Richtlinienverteilung und Auditierung über einen gesamten Kubernetes-Cluster hinweg wird als mögliche künftige Erweiterung der Business-Fleet-Management-Funktionen geprüft. Für individuelle Anfragen wenden Sie sich bitte an unseren Support-Kontakt.

Ja, aber nur in einem bestimmten Umfang. Hier steht, was erkannt wird und wo die Grenzen liegen.

Was erkannt und dann gestoppt oder gemeldet wird
- SSH-Brute-Force: Das sshd-Log wird in dem Moment gelesen, in dem eine Zeile geschrieben wird, und eine Quelle, deren Fehlversuche die Schwelle erreichen (Standard: 6 innerhalb von 600 Sekunden), wird gesperrt (gemessen etwa 0,2 Sekunden). Neue Verbindungen werden verworfen und zugleich die SSH-Verbindungen getrennt, die diese Quelle bereits offen hatte. Eine authentifizierte Sitzung und eine ausgenommene Quelle werden nie getrennt.
- Aktivität nach einem Einbruch: Der eBPF-Laufzeitschutz (Falco / Tetragon) erkennt Reverse Shells, Rechteausweitung und Container-Ausbrüche und reagiert automatisch, von der Isolation des Prozesses bis zum Air-Gap des gesamten Hosts. RoamSwitch sucht außerdem selbst alle 2 Sekunden nach Reverse Shells zu externen Adressen (gemessen etwa 2,4 Sekunden nach dem Verbindungsaufbau). Die Zeit von der Erkennung bis zur Reaktion wird aufgezeichnet; gemessen waren es 42 bis 64 ms.
- Dateimanipulation: Die FIM erkennt die Änderung einer wichtigen Datei sofort, und die Benachrichtigung nennt, wer sie vorgenommen hat (Konto, ausführbare Datei, Befehl) und über welche SSH-Anmeldung (Quell-IP, Zeit, Authentifizierungsmethode). Konnte das nicht geprüft werden, steht das dort.
- Außerdem: Berührungen des Ransomware-Canarys und der Köder-Zugangsdaten, Erkennung und Sperrung von Portscans, Erkennung von DNS-Tunneling, Sperrung ausgehenden Verkehrs zu bekannten bösartigen IPs und Erkennung von Verbindungen zur Cloud-Metadatenadresse (nur Benachrichtigung).

Zu den Benachrichtigungen
Sie verlassen den Server nur, wenn der Betreiber ein Ziel eingerichtet hat (Telegram, LINE, Webhook oder Ereignisweiterleitung). Standardmäßig ist das aus, und der Verlauf wird immer auf dem Server selbst aufgezeichnet.

Grenzen
- Wie genau und wie schnell die eBPF-Isolation ist, hängt von den Regeln von Falco oder Tetragon ab. Tatsächlich enthalten die 29 Standardregeln von Falco 0.45.0 keine, die eine Reverse Shell auf dem Host erkennt. RoamSwitch gleicht das mit einem Heartbeat aus, der prüft, ob der Alarmweg lebt, und mit eigener Reverse-Shell-Erkennung, schließt damit aber nicht jede Lücke der Regeln.
- Die FIM zeigt die Tatsache einer Änderung sowie den Prozess und die Anmeldung dahinter. Den Zugang selbst (etwa die ausgenutzte Schwachstelle) zeigt sie nicht.
- Die SSH-Sperre zählt je Quelle und wirkt deshalb schlecht gegen verteilte Brute-Force-Angriffe, die von vielen IPs aus je einmal versuchen. Läuft fail2ban oder CrowdSec (mit aktivem sshd-Schutz), überlässt RoamSwitch das Sperren diesen und erkennt und meldet nur.
- Als eigentliche Abhilfe kombinieren Sie es mit dem Abschalten der Passwort-Authentifizierung (nur Schlüssel) und einer Beschränkung der erlaubten Quellen (Allowlist).