CLI/Guida alle operazioni senza testa

1. Componenti

Una distribuzione headless viene eseguita sul demone + roamswitch CLI (più roamswitch-mcp se lo si desidera). Tutti i meccanismi di difesa autonomi funzionano senza alcuna GUI.

2. Demone (servizi di sistema)

Edizione cliente

sudo systemctl status  roamswitch.service      # Stato di funzionamento
sudo systemctl enable  roamswitch.service      # Avvio automatico al boot (abilitato all'installazione)
sudo systemctl restart roamswitch.service      # Riavvia
journalctl -u roamswitch.service -f            # Segui i log
journalctl -u roamswitch.service --since "1h ago"

Cosa fa il demone client in modo autonomo all'avvio e ad ogni ciclo (3 s):

• Identifica il MAC del gateway connesso e applica i profili nftables (open / balanced / lockdown) rispetto a trusted_networks
• Rilevamento ransomware comportamentale (fanotify + entropia di Shannon + canarini)
• Scansione malware in accesso (fanotify, facoltativamente ClamAV)
• Monitoraggio dello spoofing ARP e blocco preventivo ARP/NDP del gateway su reti non attendibili
• Rafforzamento del kernel (sysctl / Yama / core dump / /tmp noexec) per profilo
• Applicazione DNS di protezione dalle minacce (dns_enabled + dns_scope)
• Link guard (NFQUEUE) per l'intercettazione del phishing
• Uscita dello stato di runtime su /run/roamswitch/state.json

Edizione server

sudo systemctl status  roamswitch-server.service      # Stato di funzionamento
sudo systemctl restart roamswitch-server.service      # Riavvia
journalctl -u roamswitch-server.service -f            # Segui i log

3. Riferimento ai comandi CLI

Sintassi di base: roamswitch <command> [options]. L'esecuzione senza argomenti viene eseguita per impostazione predefinita su status. La lingua di output segue automaticamente le impostazioni internazionali del sistema operativo (LC_ALL / LC_MESSAGES / LANG).

Policy di isolamento (Air-Gap)

Rilasciare solo con un timer fisso permette a un attaccante paziente di aspettare, quindi il trigger di un isolamento è classificato in base all’affidabilità (in entrambe le edizioni).

• Bassa affidabilità (un Air-Gap manuale, anomalie generiche, eBPF Error / Warning e inferiori): ripristinato completamente dopo un breve timer (client: airgap_low_confidence_secs, 600 s per impostazione predefinita; server: safety_timer_secs in guard.yaml, 300 s per impostazione predefinita; 0 disattiva il timer).
• Alta affidabilità (manomissione del canary, riscrittura massiva in stile ransomware, ARP spoofing sotto lockdown, eBPF Critical / Emergency / Alert, attivazione ripetuta della stessa regola e così via): non viene mai ripristinato in silenzio. Dopo il timer la causa (PID congelato, canary, ARP, regola che si riattiva) viene ricontrollata e l’isolamento viene rilasciato con una notifica solo quando si verifica che la causa è stata rimossa. Se ciò non può essere confermato, nessuno lo ha riconosciuto e si raggiunge il limite (client: airgap_hard_cap_secs; server: isolation_hard_cap_secs in server.conf; entrambi 3600 s per impostazione predefinita, 0 = nessun limite), passa alla modalità DEGRADED.
• La modalità DEGRADED non si apre mai su timer (il client consente solo il loopback; il server consente solo i percorsi di gestione SSH di manutenzione e degli IP in whitelist). Viene rilasciata solo da un ricontrollo che verifichi la rimozione della causa, da un riconoscimento esplicito (server: roamswitch server ack) o da un rilascio manuale (il pulsante della GUI / roamswitch emergency-restore). Nella modalità DEGRADED del client anche l’rfkill del Wi-Fi non viene rimosso, a meno che airgap_degraded_lift_rfkill sia true.
• Le connessioni stabilite diverse dai percorsi di gestione vengono interrotte (server: tutto tranne le porte SSH di manutenzione e gli IP in whitelist, quindi viene interrotto anche un canale C2 o una reverse shell che l’attaccante ha già aperto). Un Air-Gap manuale è a bassa affidabilità quando proviene dal menu / dalla GUI / da roamswitch airgap enable senza contesto di avviso, ma quando viene avviato dal pulsante «blocca ora» di un avviso di ARP spoofing eredita l’affidabilità (alta) di quell’avviso, e il MAC del gateway viene ricontrollato senza inviare traffico finché non coincide con il MAC attendibile in controlli consecutivi (arp_recheck_consecutive controlli distribuiti su almeno arp_recheck_min_secs secondi). Ogni transizione è registrata nella timeline degli incidenti.

Ripristino da ransomware (snapshot e ripristino di file)

I comandi seguenti appartengono a roamswitch-ransomware-rollback (non sono sottocomandi di roamswitch). Il suo stato è salvato in /var/lib/roamswitch.

Esempi

sudo roamswitch status                 # Diagnostica completa client (27 voci)
sudo roamswitch status --server        # Diagnostica completa Server Edition (34 voci)
sudo roamswitch ports -a               # Tutte le porte in ascolto
roamswitch guards                      # Stato delle guardie
roamswitch audit-url https://examp1e-login.com
roamswitch audit-secrets ./deploy.env
roamswitch audit-secrets .                          # Scansione ricorsiva della directory corrente
roamswitch audit-logs 72               # Analizza i log delle ultime 72 ore
sudo roamswitch sharing on             # Arresto automatico di SSH/Samba/RDP su reti non attendibili
sudo roamswitch fim verify             # Verifica dell'integrità dei file FIM
sudo roamswitch fim update             # Aggiorna la baseline FIM
sudo roamswitch emergency-restore      # Rimuovi completamente il blocco di emergenza e ripristina
sudo roamswitch airgap enable          # Blocco di emergenza
sudo roamswitch airgap disable         # Rimuovi
sudo roamswitch server ack             # Riconosce l’isolamento di emergenza (mantiene rigido un isolamento FULL, rilascia uno in DEGRADED)
roamswitch canary                      # Cronologia degli incidenti del canary
roamswitch vuln-status                 # Mostra l'ultimo risultato della scansione e i giorni trascorsi (pass_age)
roamswitch port-anomaly                # Cronologia degli incidenti del Port Anomaly Guard
roamswitch server ebpf                 # Stato di isolamento e cronologia degli incidenti della guardia eBPF
roamswitch server bans                 # Stato della guardia contro la forza bruta SSH ed elenco delle origini bannate
sudo roamswitch server unban 203.0.113.9   # Rimuovere un ban della guardia SSH (richiede root)
roamswitch notifications               # Cronologia delle notifiche degli ultimi 7 giorni
roamswitch frozen                      # Elenca i processi congelati
sudo roamswitch frozen resume 12345    # Rilascia un falso positivo
sudo roamswitch sensor pair --addr 192.168.1.50 --code AB3DFGH2 --fingerprint 3F:45:89:E1:...:36:10  # Si abbina a Sensor tramite un codice di abbinamento
sudo roamswitch sensor key             # Mostra la chiave pubblica/indirizzo propri di questo endpoint
roamswitch port-scan                   # Cronologia di rilevamento delle scansioni delle porte
roamswitch timeline --json             # all incident-timeline records as JSON
roamswitch notifications --export n.jsonl   # JSON Lines
sudo roamswitch events search --since 2h --exe curl
sudo roamswitch forward status
sudo roamswitch server allowlist add "<rule>" mytool --exe /usr/local/bin/mytool
sudo roamswitch sensor repin <PUBLIC_KEY> --fingerprint <NEW_FINGERPRINT>
sudo roamswitch server tui

Il demone dell'edizione server viene eseguito come root, quindi i comandi che devono leggere il set di regole nftables o identificare il proprietario di un processo (status / status --server / ports -a) restituiscono risultati imprecisi senza sudo (un falso verdetto “inattivo”, o informazioni di processo mancanti). Anche i comandi che modificano la configurazione (sharing / fim update / airgap / emergency-restore, ecc.) richiedono sudo. Tutti gli altri comandi, di sola lettura, funzionano correttamente senza di esso.

4. File di configurazione

Edizione client (~/.config/roamswitch/config.json)

Il demone viene eseguito come root ed esegue la scansione di /home/*/.config/roamswitch/config.json, utilizzando il primo file valido che trova (o /root/.config/roamswitch/config.json in ambienti solo root).

Edizione server (/etc/roamswitch/server.conf)

L’edizione server usa un file di configurazione in formato INI protetto con permessi 0600 (solo root). Tipo, valori consentiti, valore predefinito e necessità di riavvio di ogni chiave sono nel Manuale operativo del server §18. Modificate le chiavi con roamswitch server config show|get|set o nell’editor di configurazione di roamswitch server tui (tutte le 146 chiavi di server.conf e guard.yaml). L’edizione server non supporta il ricaricamento della configurazione, quindi applicate le modifiche con sudo roamswitch server restart.

Computer condivisi: modalità solo amministratore

Su un computer condiviso da più persone, sudo touch /etc/roamswitch/admin-only attiva la modalità solo amministratore. Le modifiche che riguardano l'intero computer (firewall, DNS, VPN, USB, rafforzamento di kernel e mount, radio, fiducia di Sensor e simili) sono allora limitate a root o agli utenti del gruppo sudo, wheel o roamswitch. Le azioni legate ai propri file e processi (isolamento, kill, freeze, scansioni) funzionano come prima. /etc/roamswitch/admin-only vale solo se appartiene a root e gli altri non possono scriverlo (un utente non può quindi crearlo per cambiare modalità). È disattivata per impostazione predefinita (nessun file).

5. Registri e file di stato di runtime

Chiamata diretta IPC (avanzata)

Il demone accetta JSON delimitato da nuova riga su /run/roamswitch/roamswitch.sock:

# Forza il cambio di profilo (edizione client)
printf '{"id":1,"method":"set_security_level","params":{"level":"lockdown"}}\n' \
  | sudo socat - UNIX-CONNECT:/run/roamswitch/roamswitch.sock

# Riconcilia subito il blocco ARP del gateway
printf '{"id":1,"method":"reconcile_gateway_lock","params":null}\n' \
  | sudo socat - UNIX-CONNECT:/run/roamswitch/roamswitch.sock

6. Stato programmatico (MCP)

roamswitch-mcp espone strumenti di sola lettura su JSON-RPC su stdio (get_security_report / verify_security_findings / get_exposed_ports / get_guard_status / audit_url_safety / audit_secrets / audit_security_logs / audit_mcp_configs / audit_agent_setup / get_app_help / get_quarantine_status / get_file_scan_guard_status / verify_fim / get_port_anomaly_incidents / get_ebpf_incidents / get_resource_guard_incidents / get_port_scan_incidents / get_ssh_guard_incidents / get_canary_status / get_vulnerability_scan_history / get_notification_history / search_exec_events / get_process_tree / get_incident_timeline / get_fleet_status / get_vpn_status / get_link_guard_status / get_air_gap_status / get_sharing_services_status / get_bluetooth_guard_status / get_usb_guard_status / run_active_vuln_scan / run_package_cve_scan / run_package_cve_scan_languages / run_package_lifecycle_script_scan / run_typosquat_scan / run_npm_audit_signatures / get_sensor_audit_results).

Non si connette a host esterni e dialoga localmente con il socket del demone o chiama direttamente roamswitch-core. get_security_report e verify_security_findings non inviano nulla nemmeno alla LAN (il gateway viene letto solo dalla cache ARP e da altre informazioni locali). Vedere la Guida all'installazione del sistema MCP

• Pagina del prodotto RoamSwitch per Linux
• Libro bianco sulla sicurezza del cliente
• Libro bianco sulla sicurezza dei server
• Manuale operativo del server
• Assistente AI e Guida all'integrazione MCP
• FAQ