Manual de operação do RoamSwitch for Linux

Este guia percorre, para a edição desktop do RoamSwitch (ícone na área de notificação + janela principal), o menu da área de notificação e todos os separadores da janela principal, um a um, exatamente pela ordem em que aparecem. Pressupõe um ambiente de trabalho GTK (GNOME, KDE, XFCE, etc.). Para funcionamento num servidor headless, consulte o Manual de Operações Server Edition.

1. Sobre este manual

O RoamSwitch for Linux é uma aplicação que reside como um ícone 🛡️ na área de notificação do ambiente de trabalho. Ao clicar no ícone da área de notificação abre-se um menu, a partir do qual pode chamar a janela principal para definições mais detalhadas.

Muitas das funcionalidades mais avançadas têm a etiqueta Pro. Isto significa que a funcionalidade só fica disponível depois de comprar (ou experimentar) o RoamSwitch Pro. Tudo o que não tiver esta etiqueta é gratuito.

2. Menu da área de notificação

O menu que se abre ao clicar no ícone da área de notificação. Descrevemo-lo de cima a baixo.

Procedimento

1. Mudar já o nível de proteção: Clique no ícone da área de notificação e depois em Lockdown, Balanced ou Open. Na lista de durações que aparece a seguir (até à próxima desconexão / 1 hora / 2 horas / 4 horas / por hoje / até ser removido manualmente), clique durante quanto tempo o quer manter para o aplicar.
2. Voltar ao modo automático: Clique no ícone da área de notificação → «Voltar ao modo automático».
3. Mudar o fornecedor de DNS seguro: Clique no ícone da área de notificação, passe o cursor sobre o submenu de DNS e clique no fornecedor que quer usar.
4. Se perder a conetividade: Clique no ícone da área de notificação → Submenu de recuperação → «Recuperação de emergência da rede».
5. Mudar o idioma de exibição: Clique no ícone da área de notificação → Submenu de idioma e clique no idioma que quer usar.

Em ecrãs pequenos ou com escala de DPI elevada, os três itens Lockdown/Balanced/Open podem aparecer agrupados num único submenu chamado «Nível de segurança» (o conteúdo é o mesmo em qualquer dos casos).

3. Como abrir a janela principal

A janela principal pode ser aberta a partir de «Abrir janela principal» no menu da área de notificação, ou clicando na linha de estado. Ao contrário da versão para macOS, onde cada funcionalidade abre a sua própria janela separada, aqui tudo está reunido numa única janela grande, com 19 separadores (secções) entre os quais alterna pela barra lateral esquerda. Os capítulos seguintes percorrem esses separadores exatamente pela ordem em que aparecem na barra lateral.

4. 🌐 Network Management

O primeiro separador na barra lateral. Trata do registo da rede em que se encontra atualmente e da gestão da lista de redes já registadas.

Procedimento

1. Registar a rede atual: Clique em «Registar» no cartão «Rede atualmente ligada», escolha um nome e um nível de segurança, depois clique em «Guardar».
2. Editar ou eliminar uma rede registada: Na «Lista de redes registadas», selecione a linha pretendida e use o ícone do lápis para editar ou o ícone do caixote do lixo para eliminar.
3. Fixar temporariamente um nível: No cartão «Mudar manualmente a política de segurança», escolha um nível e a duração, depois clique em «Aplicar».

5. 📊 Security Diagnostic Suite

Separador de diagnóstico completo que atribui uma pontuação à configuração de segurança da sua máquina Linux. No topo aparecem uma pontuação e um título, com uma lista de aprovação/reprovação de cada verificação abaixo. É o equivalente Linux do «Diagnóstico de segurança abrangente do Mac» da versão Mac. Recomendamos verificar este separador periodicamente para garantir que não restam itens a vermelho ou a amarelo.

Procedimento Os itens apresentados a vermelho ou a amarelo têm um botão de correção ao lado. Ao clicar, a maioria dos problemas é resolvida ali mesmo e a pontuação é atualizada automaticamente.

6. 🚪 Ports & DevIsolator

O separador com mais conteúdo de todos. Reúne tudo o que se relaciona com as fronteiras de rede: desde a proteção contra a exposição de portas de servidores de desenvolvimento, à deteção de anomalias ARP, ao emparelhamento com o Sensor, até à verificação de vulnerabilidades.

Procedimento

1. Isolar a porta de um servidor de desenvolvimento: No cartão «Portas expostas & isolamento de servidores de desenvolvimento», selecione a porta pretendida na lista e clique em «Isolar» ou «Bloquear».
2. Emparelhar um Sensor: No cartão «Emparelhamento manual com código de emparelhamento», introduza o código emitido pelo Sensor e clique em «Associar».

7. 🔌 USB & BadUSB Guard

Procedimento

1. Clique no interruptor do cartão «Defesa USB / BadUSB» para o ativar.
2. Na lista «Dispositivos USB & HID ligados», selecione os dispositivos que vai continuar a usar e clique em «Adicionar à lista de permissões».

8. 🦠 Malware & Quarantine

Separador que reúne a proteção antivírus do ClamAV e as defesas de baixo nível específicas do Linux: fanotify, análise de entropia, regras YARA e imposição de no-exec.

Procedimento

1. Executar uma verificação agora: No cartão «Verificação ClamAV sob pedido», escolha uma pasta e clique em «Iniciar verificação».
2. Gerir ficheiros em quarentena: No cartão «Cofre de quarentena», selecione um ficheiro na lista e clique em «Restaurar» ou «Eliminar definitivamente».
3. Adicionar uma pasta monitorizada: No cartão «Pastas monitorizadas», clique em «Adicionar pasta», escolha por exemplo a pasta Transferências e clique em «Guardar».

9. 🛡️ DNS Threat Guard

Função que bloqueia, ao nível do DNS, a resolução de nomes de sites de phishing e dos servidores de comando e controlo (C2) usados pelo malware para comunicar com os atacantes. Escolha um fornecedor (por exemplo, Quad9) na lista pendente, e defina em «Âmbito de aplicação» a quais redes se aplica. Funciona em conjunto com o submenu de DNS do menu da área de notificação (capítulo 2).

Procedimento Depois de ativar o interruptor, escolha o fornecedor que quer usar na lista pendente «Fornecedor de DNS seguro» e defina em «Âmbito de aplicação» a quais redes se aplica.

10. 🔒 VPN Tunnel Pro

Função de VPN que encripta as comunicações em redes não fidedignas. O cartão de estado mostra a situação atual da ligação, e o cartão de configuração gere os destinos (por exemplo, a importação de uma configuração WireGuard). Tal como na secção 11.2 do manual do Mac, isto protege contra escuta e adulteração das comunicações quando está numa rede em que não confia.

Procedimento

1. No cartão de configuração, em «Backend» escolha WireGuard ou Tailscale.
2. Para o WireGuard, selecione um ficheiro .conf em «Importar ficheiro de configuração». Para o Tailscale, clique em «Iniciar sessão» e autentique a sua conta no navegador.
3. Depois de configurar, clique em «Ligar». A VPN está ativa quando o cartão de estado mostra «Ligado».

11. 🔑 Secret & API Key Audit

Ferramenta de auditoria que analisa a pasta pessoal e os ficheiros de configuração em busca de informações sensíveis — chaves API, palavras-passe, tokens — que possam ter ficado gravadas em texto simples por engano. Ajuda a evitar que um programador deixe segredos sem querer num repositório ou num ficheiro de configuração.

Procedimento Clique em «Iniciar verificação» para começar a auditoria. Quando terminar, são apresentados em lista os itens detetados (caminho do ficheiro e tipo).

12. 📜 Security Log Audit

Separador para auditar e consultar os registos relacionados com segurança gravados pelo RoamSwitch e pelo sistema Linux. Permite traçar, por ordem cronológica, o que foi detetado no passado e como foi tratado.

13. 🔔 Notifications

Lista do histórico de notificações que o RoamSwitch mostrou nos últimos 7 dias. Útil para consultar mais tarde uma notificação da área de notificação que possa ter perdido.

14. 🕒 Incident Timeline

Ecrã que permite rever, por ordem cronológica, os eventos de segurança — deteção, resposta, resolução (funcionalidade experimental). Útil quando quer perceber o panorama geral do que aconteceu, em vez de seguir entradas de registo individuais.

15. 🔎 Security Activity Log

Permite pesquisar e visualizar, num único ecrã, tudo o que o RoamSwitch já detetou, notificou ou tratou até agora. Combina o conteúdo do capítulo 14 «Incident Timeline» e do capítulo 13 «Notifications» numa só vista, filtrável por período, categoria, gravidade e palavra-chave. Este separador é distinto do capítulo 12 «Security Log Audit» (que audita registos do próprio sistema operativo, como o journald); este serve para rever o que o RoamSwitch já detetou, notificou ou decidiu.

Procedimento Depois de filtrar com os menus pendentes de período, categoria e gravidade e o campo de pesquisa por palavra-chave, clique num intervalo de tempo específico no gráfico de barras no topo do ecrã para reduzir a lista apenas aos eventos desse intervalo. Clique em «Limpar filtro» para remover a redução.

16. 🔗 Link Safety Audit

Separador que reúne as definições de proteção de links e uma ferramenta de verificação manual onde pode colar um único URL para o verificar na hora. Corresponde às secções 9.5 e 9.6 do manual do Mac.

Procedimento Para verificar um URL na hora, cole-o no campo do cartão «Verificação manual» e clique em «Verificar». O veredito de segurança aparece em poucos segundos.

17. 📦 Package CVE Scan

Separador de proteção contra vulnerabilidades e ataques à cadeia de fornecimento, cobrindo um vasto leque: do gestor de pacotes do sistema operativo aos pacotes de desenvolvimento específicos de cada linguagem.

No Ubuntu (20.04, 22.04, 24.04, 26.04), a verificação de CVE dos pacotes do sistema usa os dados próprios do Ubuntu e compara por nome e versão do pacote de origem. Verifica apenas as CVE graves (CVSS 7,0 ou superior) para as quais o Ubuntu já publicou uma correção. As CVE sem correção publicada, ainda não avaliadas ou que o Ubuntu decidiu não corrigir não estão incluídas, pelo que «sem correspondências» não significa que não existam CVE conhecidas. O kernel fica a cargo dos dados de CVE do kernel existentes e não faz parte desta verificação. Uma correção disponível apenas com o Ubuntu Pro (ESM) é marcada com 🔒 e a nota «Esta correção só está disponível através do Ubuntu Pro (ESM)». Nas derivadas do Ubuntu, como Linux Mint e Pop!_OS, e nas versões não suportadas, a verificação indica que este Ubuntu não é abrangido pela verificação de CVE. Também não muda para os dados do Debian, para evitar falsos positivos. Os dados do Ubuntu são assinados e só são distribuídos a máquinas Ubuntu (cerca de 4 MB). Uma máquina que ainda não os tem obtém-nos na atualização diária seguinte e depois procura uma versão mais recente cerca de cada 30 dias. A verificação para Debian, Arch, família RHEL e SUSE mantém-se inalterada.

Procedimento

1. Clique em «Iniciar verificação» no cartão «Verificação de CVE dos pacotes do sistema operativo» ou «Verificação de CVE das dependências de desenvolvimento».
2. Quando terminar, é apresentada a lista das vulnerabilidades correspondentes. Cada item vem acompanhado de uma forma de a corrigir (por exemplo, um comando de atualização).

18. 💎 Pro License

Reúne a lista de funcionalidades incluídas gratuitamente, informação orientada a empresas para funcionamento em servidores/VPS/cloud/bare metal, e o acesso ao painel Fleet para gerir várias máquinas em conjunto. A ativação da licença Pro também acontece aqui.

Procedimento

1. Cole a chave no campo da chave de licença e clique em «Ativar».
2. Se ainda não tiver uma chave, clique em «Comprar» para avançar com a compra. Assim que a ativação for concluída com sucesso, a exibição deste separador e do menu da área de notificação é atualizada.

19. 🧰 Recovery & Uninstall

Separador que reúne a recuperação de emergência, para quando o tráfego fica bloqueado por engano, e o caminho para a desinstalação (a mesma funcionalidade do submenu «Recuperação» do menu da área de notificação, com explicações mais completas).

Procedimento

1. Recuperação de emergência quando perde a conetividade: Clique no botão «Recuperação de emergência da rede» e escolha «Recuperar» na caixa de diálogo de confirmação.
2. Para desinstalar: Siga as indicações deste separador, ou execute no terminal o comando correspondente ao seu formato de pacote (por exemplo, sudo apt purge roamswitch). Consulte os passos de desinstalação para os detalhes.

20. 📖 Help & Guide

Ecrã de ajuda incorporado na aplicação, que abrange desde a utilização básica até notas suplementares sobre cada funcionalidade. Use-o em conjunto com este manual online.

21. 🌐 Language

Define o idioma de exibição da janela principal. Os idiomas disponíveis aqui são os mesmos da definição de idioma do menu da área de notificação (capítulo 2).

Procedimento Escolha o idioma que quer usar na lista pendente: a exibição da janela principal muda de imediato.

22. ℹ️ About RoamSwitch

Reúne informação sobre a versão, definições gerais, informação sobre o programador, licença, política de segurança, política de privacidade, termos de utilização (EULA), isenção de responsabilidade e avisos de marca registada/direitos de autor — a informação básica e legal da aplicação. Se for contactar o suporte, verifique primeiro aqui o seu número de versão.

23. 🔄 Upgrade

Separador que mostra o estado das atualizações automáticas da própria aplicação, o estado de atualização dos pacotes, e o estado de atualização das definições de ameaças e das listas de sites fraudulentos. Se instalou através do gestor de pacotes da sua distribuição, as atualizações são normalmente mantidas em dia automaticamente, juntamente com as atualizações regulares do sistema.

24. 🛟 Recuperação de ransomware (snapshots e restauro de ficheiros)

No separador «Recuperação de ransomware» da barra lateral, para a sua pasta pessoal, extraia em segurança apenas os ficheiros ou pastas de que precisa de instantâneos criados automaticamente antes de qualquer dano. Os seus ficheiros atuais nunca são substituídos. (Na edição de ambiente de trabalho padrão, a partir do Linux 1.11.21.)

Existem três tipos de snapshots. Os «Antes do dano» são criados automaticamente a intervalos fixos (a cada 6 horas por predefinição), independentemente de qualquer dano. Os «Na deteção» são sempre criados quando é detetado um comportamento típico de ransomware. Os «Manual» são os que cria você mesmo com o comando.

Ao restaurar, escolha o snapshot «Antes do dano» marcado com «★ Recomendado». Na deteção: ⚠ Criado após a deteção, pelo que contém ficheiros já cifrados. Não serve para restaurar o estado anterior à cifragem (preserva o que estava intacto e serve de prova).

Os ficheiros extraídos nunca substituem os atuais. Ficam numa pasta separada (por predefinição RoamSwitch-Recovered// dentro da pasta de destino).

Por predefinição, os instantâneos anteriores ao dano são criados automaticamente a cada 6 horas (4 gerações em btrfs, 2 em LVM). Pode alterar o intervalo com o comando sudo roamswitch-ransomware-rollback config set --periodic-interval-secs <N> (0 desativa; caso contrário, 300 segundos ou mais). Depois de um instantâneo no momento da deteção, os instantâneos anteriores ao dano ficam em pausa durante 7 dias, para que dados já cifrados não expulsem a última geração intacta. Os instantâneos no momento da deteção são sempre criados, seja qual for esta definição.

Os destinos suportados são btrfs e LVM. Sem nenhum deles, é mostrada a mensagem seguinte. Não foi possível obter a lista de snapshots (a reversão de ransomware não está instalada ou não existe destino btrfs/LVM).

Reverter tudo (avançado, apenas por comando): sudo roamswitch-ransomware-rollback restore <ID>. Atenção: o estado atual é substituído pelo conteúdo do instantâneo escolhido. Experimente primeiro «Extrair ficheiros» e «Extrair uma pasta». Um instantâneo no momento da deteção é recusado sem --accept-tampered.

Também pode ser usado na linha de comandos (roamswitch-ransomware-rollback). Veja os detalhes na página CLI / operação sem interface.

25. 🕸️ Deteção de web shells e código injetado (Web Rules)

Regras dedicadas encontram web shells PHP, JavaScript, JSP e ASP, código ofuscado injetado, PHP escondido em imagens e abusos de .htaccess. Num computador onde desenvolve aplicações web, as suas pastas de projeto também são abrangidas. Não é preciso configurar nada: os ficheiros são verificados automaticamente ao serem escritos ou abertos. As regras vêm com o produto e são renovadas pela atualização diária só de receção. (A partir do Linux 1.11.23.)

Quando algo é detetado, aparece uma caixa de confirmação («Ficheiro perigoso detetado») com o nome e a localização do ficheiro e três botões: «Mais tarde», «Permitir (não analisar no futuro)» e «Mover para quarentena». Até escolher, nada é feito ao ficheiro. «Mover para quarentena» move-o para o cofre (pode restaurá-lo mais tarde no separador Malware e quarentena). Se for assinalado código que está a desenvolver, veja o conteúdo antes de escolher. «Permitir» retira esse ficheiro das verificações futuras.

Para verificar pastas inteiras use roamswitch web-scan <pasta>. Por predefinição só consulta: nada é movido. O resultado mostra a gravidade (CRITICAL / HIGH / MEDIUM), o nome da regra e uma descrição. O código de saída é 0 sem correspondências e 2 se houver um resultado critical ou high (útil em CI). --json imprime JSON e --no-default-excludes inclui também o que está sob tests/, fixtures/ e .git/, ignorados por predefinição porque o código de teste cita as mesmas construções. roamswitch web-rules mostra a versão e o estado das regras.

São definições avançadas. Ponha as suas regras em /etc/roamswitch/rules.d/*.json (só são lidos ficheiros pertencentes a root que outros não possam escrever; um modelo obtém-se com roamswitch web-rules example rules e roamswitch web-rules validate <ficheiro> verifica um). Para chamar o seu próprio script a cada deteção, coloque um executável em /etc/roamswitch/hooks/post-detection (o resultado chega como JSON na entrada padrão; modelo: roamswitch web-rules example hook). O nível de quarentena e outras opções definem-se em /etc/roamswitch/web_rules.conf (roamswitch web-rules example conf).

Limites: só são lidos os primeiros 256 KB de um ficheiro (ao escrever/executar) ou 4 MB (análise), nomes fragmentados como 'ev'.'al' não são seguidos e, por falta de amostras reais, não se incluem assinaturas de malware concreto. Se suspeitar de um falso positivo, escolha «Permitir» ou exclua o ficheiro com uma regra sua.

26. 🤖 Auditoria da configuração de agentes de IA

Este ecrã verifica os ficheiros de instruções e as skills dados a agentes de IA (Claude Code, Codex, Cursor, Gemini, OpenClaw e outros), e o ficheiro de definições do OpenClaw, em busca de conteúdo de risco. Abra «🤖 Auditoria da configuração de agentes de IA» no menu da esquerda e prima «Executar auditoria»; é só de leitura. Verifica ~/.claude (CLAUDE.md, commands, agents, skills), ~/.codex, ~/.cursor/rules, ~/.gemini, ~/.agents e ~/.openclaw na pasta pessoal, e CLAUDE.md, AGENTS.md, .cursorrules e semelhantes nas pastas de projeto registadas em «Verificação de CVE de pacotes». Não faz nenhuma ligação de rede, e nem o conteúdo dos ficheiros nem os valores de chaves ou tokens aparecem no ecrã ou no resultado.

Procura instruções escondidas em carateres Unicode invisíveis, frases como «ignora as instruções anteriores» ou «não digas ao utilizador», código que descarrega um script e o executa tal como está (curl … | sh), código que descodifica uma cadeia e a executa, referências a ficheiros secretos (chaves SSH, credenciais na nuvem e semelhantes) junto de algo que envia dados para fora, código compilado dentro de uma skill, ficheiros que outros utilizadores podem escrever e, no OpenClaw, autenticação desativada, um token com menos de 24 carateres, uma definição que permite todos os sites e os interruptores cujo nome começa por dangerously. O que estiver dentro de um comentário HTML, que desaparece quando o Markdown é apresentado, é avaliado mais alto.

O resultado divide-se em «Gravidade: alta» e «média», cada uma com o ficheiro, o número da linha e o motivo. Uma correspondência significa «uma pessoa deveria ler esta linha», não «malicioso»; um documento que explica ataques ou uma frase de exemplo num aviso pode corresponder. Os ficheiros que não foi possível ler são listados à parte, e o ecrã nunca diz «sem resultados» para eles. Na linha de comandos é roamswitch audit-agent-setup [PASTA…] [--json]. Um assistente de IA obtém o mesmo resultado com a ferramenta MCP audit_agent_setup.

27. 🔐 Bloqueio de força bruta SSH e via de intrusão nas notificações (sem ecrã)

Apenas enquanto o SSH (sshd) estiver em execução neste computador, vigia as falhas de início de sessão SSH e bloqueia as novas ligações de uma origem que falha repetidamente em pouco tempo. Corta também as ligações SSH que essa origem já tinha abertas, mas nunca uma sessão autenticada nem uma origem da sua lista de isenções. Num computador em que o sshd não está em execução, não lê nada e não altera nada. Não há ecrã de definições: as 10 chaves ssh_guard_* em ~/.config/roamswitch/config.json alteram-no (veja a tabela de definições em CLI / funcionamento sem ecrã). As notificações são notificações de ambiente de trabalho e ficam guardadas no histórico.

As origens atualmente bloqueadas listam-se com sudo roamswitch bans e levantam-se com sudo roamswitch unban <IP> (--all levanta todas). Nos níveis de proteção predefinidos do cliente o tráfego de entrada está fechado, pelo que as ligações podem nem chegar ao SSH, e então o bloqueio tem menos que fazer. Quando o fail2ban ou o CrowdSec já protege o sshd, o RoamSwitch cede-lhe o bloqueio e limita-se a detetar e notificar.

Uma notificação sobre um ficheiro crítico adulterado (FIM) indica agora o processo que fez a alteração e o início de sessão SSH a que pertence (origem, hora, método de autenticação). A notificação de um acesso a um ficheiro de credenciais só o indica quando o processo pertence a um início de sessão SSH. Quando não foi possível verificar, a notificação diz «Não foi possível determinar o caminho de acesso» e nunca diz que não era um início de sessão. Para o desativar, escreva "fim_intrusion_context_enabled": false em config.json.