Guide des opérations CLI/sans tête

1. Composants

Un déploiement sans tête s'exécute sur le démon + roamswitch CLI (plus roamswitch-mcp si vous le souhaitez). Tous les mécanismes de défense autonomes fonctionnent sans aucune interface graphique.

2. Démon (services systemd)

Édition client

sudo systemctl status  roamswitch.service      # État de fonctionnement
sudo systemctl enable  roamswitch.service      # Démarrage automatique au boot (activé à l'installation)
sudo systemctl restart roamswitch.service      # Redémarrer
journalctl -u roamswitch.service -f            # Suivre les journaux
journalctl -u roamswitch.service --since "1h ago"

Ce que fait le démon client de manière autonome au démarrage et à chaque cycle (3 s) :

• Identifie la passerelle MAC connectée et applique les profils nftables (open / balanced / lockdown) sur trusted_networks
• Détection comportementale des ransomwares (fanotify + entropie de Shannon + canaris)
• Analyse des logiciels malveillants à l'accès (fanotify, éventuellement ClamAV)
• Surveillance de l'usurpation d'identité ARP et épinglage préventif de la passerelle ARP/NDP sur des réseaux non fiables
• Renforcement du noyau (sysctl / Yama / core dumps / /tmp noexec) par profil
• Application DNS de protection contre les menaces (dns_enabled + dns_scope)
• Link Guard (NFQUEUE) pour l'interception de phishing
• Sortie de l'état d'exécution vers /run/roamswitch/state.json

Édition serveur

sudo systemctl status  roamswitch-server.service      # État de fonctionnement
sudo systemctl restart roamswitch-server.service      # Redémarrer
journalctl -u roamswitch-server.service -f            # Suivre les journaux

3. Référence des commandes CLI

Syntaxe de base : roamswitch <command> [options]. L'exécution sans arguments est par défaut status. La langue de sortie suit automatiquement les paramètres régionaux du système d'exploitation (LC_ALL / LC_MESSAGES / LANG).

Politique d’isolation (Air-Gap)

Une levée sur simple minuterie fixe permet à un attaquant patient d’attendre tout simplement : le déclencheur d’une isolation est donc classé selon son niveau de confiance (les deux éditions).

• Faible confiance (Air-Gap manuel, anomalies génériques, eBPF Error / Warning et inférieur) : restauration complète après une courte minuterie (client : airgap_low_confidence_secs, 600 s par défaut ; serveur : safety_timer_secs dans guard.yaml, 300 s par défaut ; 0 désactive la minuterie).
• Haute confiance (falsification d’un canary, réécriture massive de type ransomware, usurpation ARP en mode lockdown, eBPF Critical / Emergency / Alert, déclenchement répété de la même règle, etc.) : jamais restaurée silencieusement. Après la minuterie, la cause (PID gelé, canary, ARP, règle qui se redéclenche) est revérifiée et l’isolation n’est levée, avec une notification, que lorsque la disparition de la cause est vérifiée. Si cela ne peut être confirmé, que personne n’a accusé réception et que le plafond est atteint (client : airgap_hard_cap_secs ; serveur : isolation_hard_cap_secs dans server.conf ; tous deux 3600 s par défaut, 0 = aucun plafond), elle passe en mode DEGRADED.
• Le mode DEGRADED ne s’ouvre jamais sur minuterie (le client n’autorise que le loopback ; le serveur n’autorise que les chemins d’administration SSH de maintenance et IP de la liste blanche). Il n’est levé que par une revérification confirmant la disparition de la cause, un accusé de réception explicite (serveur : roamswitch server ack) ou une levée manuelle (le bouton de l’interface graphique / roamswitch emergency-restore). Dans le mode DEGRADED du client, le rfkill Wi-Fi n’est pas non plus levé, sauf si airgap_degraded_lift_rfkill vaut true.
• Les connexions établies autres que les chemins d’administration sont coupées (serveur : tout sauf les ports SSH de maintenance et les IP de la liste blanche, de sorte qu’un canal C2 ou un reverse shell que l’attaquant a déjà ouvert est lui aussi coupé). Un Air-Gap manuel est à faible confiance lorsqu’il provient du menu / de l’interface graphique / de roamswitch airgap enable sans contexte d’alerte, mais lorsqu’il est lancé depuis le bouton « bloquer maintenant » d’une alerte d’usurpation ARP, il hérite de la confiance (élevée) de cette alerte, et la MAC de la passerelle est revérifiée sans émettre de trafic jusqu’à ce qu’elle corresponde à la MAC de confiance lors de vérifications consécutives (arp_recheck_consecutive vérifications couvrant au moins arp_recheck_min_secs secondes). Chaque transition est consignée dans la chronologie des incidents.

Récupération après ransomware (instantanés et restauration de fichiers)

Les commandes suivantes appartiennent à roamswitch-ransomware-rollback (ce ne sont pas des sous-commandes de roamswitch). Son état est stocké dans /var/lib/roamswitch.

Exemples

sudo roamswitch status                 # Diagnostic complet client (27 éléments)
sudo roamswitch status --server        # Diagnostic complet Server Edition (34 éléments)
sudo roamswitch ports -a               # Tous les ports en écoute
roamswitch guards                      # État des gardes
roamswitch audit-url https://examp1e-login.com
roamswitch audit-secrets ./deploy.env
roamswitch audit-secrets .                          # Analyser récursivement le répertoire courant
roamswitch audit-logs 72               # Analyser les journaux des dernières 72 heures
sudo roamswitch sharing on             # Arrêt automatique de SSH/Samba/RDP sur réseau non approuvé
sudo roamswitch fim verify             # Vérification de l'intégrité des fichiers FIM
sudo roamswitch fim update             # Mettre à jour la référence FIM
sudo roamswitch emergency-restore      # Lever entièrement le confinement d'urgence et restaurer
sudo roamswitch airgap enable          # Confinement d'urgence
sudo roamswitch airgap disable         # Lever
sudo roamswitch server ack             # Accuse réception de l’isolation d’urgence (maintient stricte une isolation FULL, lève une isolation DEGRADED)
roamswitch canary                      # Historique des incidents du canari
roamswitch vuln-status                 # Affiche le dernier résultat de l'analyse et le temps écoulé (pass_age)
roamswitch port-anomaly                # Historique des incidents du Port Anomaly Guard
roamswitch server ebpf                 # État d'isolement et historique des incidents du garde eBPF
roamswitch server bans                 # État de la garde contre la force brute SSH et liste des sources bannies
sudo roamswitch server unban 203.0.113.9   # Lever un bannissement de la garde SSH (root requis)
roamswitch notifications               # Historique des notifications des 7 derniers jours
roamswitch frozen                      # Lister les processus gelés
sudo roamswitch frozen resume 12345    # Libérer un faux positif
sudo roamswitch sensor pair --addr 192.168.1.50 --code AB3DFGH2 --fingerprint 3F:45:89:E1:...:36:10  # S'appaire avec Sensor à l'aide d'un code d'appairage
sudo roamswitch sensor key             # Affiche la clé publique/l'adresse propres à ce terminal
roamswitch port-scan                   # Historique de détection de scan de ports
roamswitch timeline --json             # all incident-timeline records as JSON
roamswitch notifications --export n.jsonl   # JSON Lines
sudo roamswitch events search --since 2h --exe curl
sudo roamswitch forward status
sudo roamswitch server allowlist add "<rule>" mytool --exe /usr/local/bin/mytool
sudo roamswitch sensor repin <PUBLIC_KEY> --fingerprint <NEW_FINGERPRINT>
sudo roamswitch server tui

Le démon de l'édition serveur s'exécute en tant que root ; les commandes qui doivent lire le jeu de règles nftables ou identifier le propriétaire d'un processus (status / status --server / ports -a) renvoient donc des résultats inexacts sans sudo (un faux verdict « inactif », ou des informations de processus manquantes). Les commandes qui modifient la configuration (sharing / fim update / airgap / emergency-restore, etc.) nécessitent également sudo. Toutes les autres commandes, en lecture seule, fonctionnent correctement sans sudo.

4. Fichiers de configuration

Édition client (~/.config/roamswitch/config.json)

Le démon s'exécute en tant que root et analyse /home/*/.config/roamswitch/config.json, en utilisant le premier fichier valide qu'il trouve (ou /root/.config/roamswitch/config.json dans les environnements root uniquement).

Édition serveur (/etc/roamswitch/server.conf)

L’édition serveur utilise un fichier de configuration au format INI protégé par les permissions 0600 (root uniquement). Le type, les valeurs autorisées, la valeur par défaut et la nécessité d’un redémarrage de chaque clé figurent dans le Manuel d’exploitation serveur §18. Modifiez les clés avec roamswitch server config show|get|set ou dans l’éditeur de configuration de roamswitch server tui (les 146 clés de server.conf et guard.yaml). L’édition serveur ne prend pas en charge le rechargement de sa configuration : appliquez donc les changements avec sudo roamswitch server restart.

Machines partagées : mode administrateur uniquement

Sur une machine partagée par plusieurs personnes, sudo touch /etc/roamswitch/admin-only active le mode administrateur uniquement. Les modifications qui touchent toute la machine (pare-feu, DNS, VPN, USB, durcissement du noyau et des montages, radios, confiance de Sensor, etc.) sont alors réservées à root ou aux utilisateurs du groupe sudo, wheel ou roamswitch. Les actions liées à vos propres fichiers et processus (isolement, kill, freeze, analyses) fonctionnent comme avant. /etc/roamswitch/admin-only n'est pris en compte que s'il appartient à root et n'est pas modifiable par les autres (un utilisateur ne peut donc pas créer le fichier pour changer de mode). Désactivé par défaut (pas de fichier).

5. Journaux et fichiers d'état d'exécution

Appel direct d'IPC (avancé)

Le démon accepte le JSON délimité par des nouvelles lignes sur /run/roamswitch/roamswitch.sock :

# Forcer le changement de profil (édition client)
printf '{"id":1,"method":"set_security_level","params":{"level":"lockdown"}}\n' \
  | sudo socat - UNIX-CONNECT:/run/roamswitch/roamswitch.sock

# Revérifier immédiatement le verrouillage ARP de la passerelle
printf '{"id":1,"method":"reconcile_gateway_lock","params":null}\n' \
  | sudo socat - UNIX-CONNECT:/run/roamswitch/roamswitch.sock

6. Statut programmatique (MCP)

roamswitch-mcp expose des outils en lecture seule sur JSON-RPC sur stdio (get_security_report / verify_security_findings / get_exposed_ports / get_guard_status / audit_url_safety / audit_secrets / audit_security_logs / audit_mcp_configs / audit_agent_setup / get_app_help / get_quarantine_status / get_file_scan_guard_status / verify_fim / get_port_anomaly_incidents / get_ebpf_incidents / get_resource_guard_incidents / get_port_scan_incidents / get_ssh_guard_incidents / get_canary_status / get_vulnerability_scan_history / get_notification_history / search_exec_events / get_process_tree / get_incident_timeline / get_fleet_status / get_vpn_status / get_link_guard_status / get_air_gap_status / get_sharing_services_status / get_bluetooth_guard_status / get_usb_guard_status / run_active_vuln_scan / run_package_cve_scan / run_package_cve_scan_languages / run_package_lifecycle_script_scan / run_typosquat_scan / run_npm_audit_signatures / get_sensor_audit_results).

Il ne se connecte à aucun hôte externe et s'adresse localement au socket du démon ou appelle directement roamswitch-core. get_security_report et verify_security_findings n'envoient rien non plus au réseau local (la passerelle est seulement lue dans le cache ARP et d'autres informations locales). Voir Guide de configuration MCP

• Page produit RoamSwitch pour Linux
• Livre blanc sur la sécurité des clients
• Livre blanc sur la sécurité des serveurs
• Manuel d'utilisation du serveur
• AI Assistant et guide d'intégration MCP
• FAQ