Éliminer le Bruit de Fond Internet au Niveau du Noyau

Internet est un endroit bruyant. Chaque serveur public fait face à un bombardement constant de scanners automatisés, d’attaquants par force brute et de bots malveillants. Les configurations de pare-feu traditionnelles ont souvent du mal à suivre le volume de menaces, laissant les serveurs vulnérables ou submergés par les fichiers journaux. SysWarden est un orchestrateur de pare-feu de niveau entreprise conçu pour éliminer ce bruit au niveau du noyau, en bloquant 99% du trafic malveillant avant qu’il n’atteigne vos applications.

Qu’est-ce que SysWarden ?

SysWarden est un orchestrateur de pare-feu open-source construit pour les serveurs Linux qui intègre dynamiquement plusieurs couches de renseignement sur les menaces dans une solution unique et automatisée. En combinant les listes de blocage IPv4 Data-Shield, le filtrage GeoIP, le blocage ASN Spamhaus et la prévention d’intrusion Fail2ban, il crée un bouclier formidable qui fonctionne avec une empreinte mémoire quasi nulle.

Développé par Laurent Minne (alias Duggy Tuxy), SysWarden prend en charge un large éventail de distributions Linux, notamment Debian, Ubuntu, CentOS, Fedora, AlmaLinux, Rocky Linux et Alpine Linux. Il détecte et configure automatiquement le backend de pare-feu optimal sur votre système, qu’il s’agisse de Nftables, Firewalld ou IPSet.

Que Protège SysWarden ?

SysWarden fournit une protection complète pour divers types d’infrastructure en bloquant le trafic malveillant au niveau du pare-feu avant qu’il n’atteigne vos applications.

• VPS Public et Bare Metal Défend les ports SSH et les services essentiels contre les campagnes de force brute continues et le scanning de masse. Déploie un VPN WireGuard furtif pour rendre la gestion invisible.
• Sites Web et CMS Filtre instantanément les mauvais bots et les scanners de vulnérabilité ciblant Nginx ou Apache. Bloque les menaces en périphérie pour préserver le CPU et la RAM pour les vrais visiteurs.
• API Publiques et SaaS Protège les points de terminaison contre le grattage agressif de données, les abus automatisés et les sondes DDoS Layer 7, garantissant le respect des SLA.
• Infrastructure Dockerisée Injecte automatiquement des règles de pare-feu hermétiques directement dans la chaîne DOCKER-USER, protégeant les conteneurs sans perturber le réseau bridge interne.
• Bases de données (MySQL, MongoDB, PostgreSQL) Protège les entrepôts de données contre le credential stuffing, l’accès non autorisé et les gangs de ransomware utilisant des ensembles massifs d’IP statiques et la prévention d’intrusion dynamique Fail2ban.

Fonctionnalités Clés

SysWarden intègre des fonctionnalités de sécurité de niveau entreprise dans un package léger et automatisé.

• Cloisonnement SSH Strict (Zéro Confiance) Force l’accès SSH exclusivement via le VPN WireGuard (wg0) et Loopback. L’accès SSH public est complètement bloqué par défaut.
• Tableau de Bord de Télémétrie Serverless Interface Web légère en temps réel servie via un démon Python natif. Visualisez instantanément les blocages L3/L7 sur http://10.66.66.1:9999 (VPN) ou via un tunnel SSH.
• Support OS Universel et Auto-Détection S’adapte parfaitement à Debian, Ubuntu, CentOS, Fedora, AlmaLinux, Rocky Linux et Alpine (OpenRC).
• Routage Intelligent du Backend Configure automatiquement la syntaxe plate Nftables, les règles riches Firewalld ou IPSet selon le système d’exploitation hôte.
• Isolation Docker Hermétique Injecte des règles spécialisées dans la chaîne DOCKER-USER sans perturber le réseau interne.
• VPN WireGuard Furtif Déploie un VPN de gestion natif pour cacher vos ports SSH et de gestion du public internet.

Architecture et Fonctionnement

SysWarden utilise une approche multi-couches pour la sécurité réseau qui sépare les mécanismes de défense statiques et dynamiques.

Couche 1 : Bouclier dans l’Espace Noyau (Défense Préemptive)

La première couche utilise Nftables, Firewalld ou IPSet pour bloquer plus de 100 000+ IP malveillantes connues au niveau du niveau du noyau avant tout traitement en espace utilisateur. Cela inclut les listes de blocage Data-Shield, les blocs de pays GeoIP et les données de routage ASN Spamhaus. En gérant cela dans l’Espace Noyau, l’utilisation du CPU et de la RAM reste minimale.

Couche 2 : Applications en Espace Utilisateur (Trafic Autorisé)

Le trafic qui passe le filtre initial atteint vos services légitimes. Rsyslog isole les journaux du pare-feu et d’authentification dans des fichiers séparés, prévenant les attaques par injection de journaux et gardant vos journaux propres.

Couche 3 : Réponse Active (Défense Dynamique)

Fail2ban surveille les fichiers journaux isolés pour les menaces comportementales et les modèles de force brute. Un démon Python signale de manière asynchrone les attaquants confirmés à AbuseIPDB, contribuant à la défense communautaire mondiale. L’intégration optionnelle Wazuh XDR fournit une connectivité SIEM pour les environnements entreprise.

Installation et Utilisation

Démarrer avec SysWarden ne prend que quelques minutes. Préparez d’abord votre système :

# Ubuntu / Debian
apt update && apt install wget -y

# RHEL / AlmaLinux / Fedora
dnf update && dnf install wget -y

Téléchargez ensuite et exécutez l’installateur :

cd /usr/local/bin/
wget https://github.com/duggytuxy/syswarden/releases/download/v1.12/install-syswarden.sh
chmod +x install-syswarden.sh
./install-syswarden.sh

Commandes de Gestion

Une fois installé, SysWarden fournit des commandes CLI intuitives :

• ./install-syswarden.sh update — Force le rafraîchissement immédiat des listes de blocage
• ./install-syswarden.sh alerts — Lance le tableau de bord des attaques en direct dans le terminal
• ./install-syswarden.sh whitelist — Ajoute une IP de confiance pour contourner les listes de blocage
• ./install-syswarden.sh blocklist — Bannit définitivement une IP spécifique
• ./install-syswarden.sh protect-docker — Injecte des règles dans la chaîne DOCKER-USER
• ./install-syswarden.sh wireguard-client — Génère un nouveau profil client WG et code QR

Opérations Day-2 (syswarden-mng)

L’interface CLI de gestion permet les opérations IP en temps réel :

• syswarden-mng check <IP> — Diagnostic XDR complet sur les fichiers, le noyau et Fail2ban
• syswarden-mng block <IP> — Ajoute à chaud l’IP à l’ensemble de blocage du noyau
• syswarden-mng unblock <IP> — Supprime l’IP de toutes les listes de blocage et prisons
• syswarden-mng whitelist <IP> — Accorde un accès VIP contournant toutes les restrictions

Conformité Continue : syswarden-audit.sh

SysWarden inclut un script de conformité Purple Team autonome qui vérifie que tous les contrôles de sécurité restent actifs après l’installation. Il audite le durcissement du système d’exploitation, l’état du bouclier du noyau, la configuration Fail2ban Zero Trust et fournit un moteur de scoring de conformité déterministe.

./syswarden-audit.sh

Pourquoi Choisir SysWarden ?

Dans un paysage rempli de solutions de sécurité complexes, SysWarden se distingue pour plusieurs raisons. Il réduit considérablement la fatigue des journaux et les coûts SIEM en bloquant les scanners en périphérie réseau. Il conserve le CPU et la RAM en bloquant nativement les paquets illicites dans l’Espace Noyau. Plus important encore, il fait passer votre infrastructure d-reactive à proactive, en bloquant les IP qui ont attacked’autres serveurs il y a quelques minutes.

Avec le renseignement sur les menaces communautaires de Data-Shield et l’intégration AbuseIPDB, SysWarden représente une approche de défense collective — protégeant vos serveurs tout en contribuant à la sécurité mondiale.

Visiter le Site Web SysWarden Voir sur GitHub