Il nucleo resta nell'infrastruttura definita.
La console e il database non dipendono da un SaaS pubblico obbligatorio per il funzionamento essenziale.
La sicurezza non può chiedere fiducia al buio.
Spieghiamo cosa comunica Sentinel, come protegge accessi e segreti, quali dati conserva e dove terminano le responsabilità della piattaforma.
Nucleo self-hostedmTLS agent-serverConfini dichiarati
Identità e canali vengono verificati.
Agent, utenti e operazioni utilizzano controlli distinti, adatti al tipo di comunicazione.
I limiti fanno parte della sicurezza.
Backup, presidio umano e SLA non vengono dati per impliciti: valgono soltanto quando indicati nell'offerta.
Flusso dei dati
Il dato operativo nasce sul server protetto.
L'agent applica le difese locali e invia al nucleo centrale le informazioni necessarie alla gestione della flotta.
01Richiesta o eventoTraffico web, accesso, log o cambiamento file
→02Agent localeAnalisi, policy e blocco sul server
→03Canale mTLSAgent e nucleo si autenticano
→04Console centraleEvento, stato, audit e report
Il contenuto e il dettaglio degli eventi dipendono dai moduli e dalla configurazione. Percorsi, log, retention e integrazioni vengono definiti nel deployment.
Dati trattati
Quattro categorie, con finalità operative precise.
Inventario della flotta
Identificativo del server, hostname, sistema operativo, versione dell'agent, capacità dichiarate e stato di connessione.
Eventi e blocchi
Tipo di evento, data, server, origine, regola, esito e dettagli tecnici previsti dal modulo configurato.
Utenti e audit
Account della console, ruolo, stato del secondo fattore e traccia delle operazioni amministrative.
Configurazioni e segreti
Token e credenziali tecniche strettamente necessari ai canali opzionali configurati nel deployment.
Comunicazioni e segreti
Protezione in transito e cifratura applicativa.
Il collegamento gRPC tra agent e nucleo utilizza certificati mTLS. Per i segreti applicativi Sentinel dispone di un vault con AES-256-GCM e chiave primaria mantenuta fuori dal database.
- mTLS: verifica reciproca dell'identità nel canale agent-server.
- TLS: protegge dashboard e API esposte tramite il reverse proxy configurato.
- AES-256-GCM: cifratura autenticata per i segreti gestiti dal vault.
- Rotazione delle chiavi: supporto a chiave primaria e chiavi precedenti per la transizione.
La presenza del controllo nel software non sostituisce la configurazione: certificati, chiavi e permessi vengono verificati durante il deployment.
Agentcertificato client
mTLS
NucleoCA e certificato server
Vault segretiAES-256-GCM · chiave separata dal DB
Accesso alla console
Un singolo login non deve aprire ogni porta.
Password e sessione
Le password sono verificate tramite hash bcrypt. I cookie di autenticazione sono HttpOnly, SameSite e Secure sulle richieste HTTPS.
TOTP
Il secondo passaggio può essere abilitato per gli account e utilizza una sessione temporanea separata dal login completo.
Viewer, Operator e Admin
I ruoli separano consultazione, attività operative e amministrazione; i controlli vengono applicati anche dalle API.
CSRF e rate-limit
Le operazioni con sessione richiedono un token CSRF valido e il login limita i tentativi ripetuti.
Audit e conservazione
Le azioni sensibili lasciano una traccia.
Il registro amministrativo associa attore, azione, risorsa, origine, esito e data. Le normali funzioni applicative non possono riscrivere una voce già registrata.
- Append-only per gli aggiornamenti: il database impedisce la modifica delle righe di audit esistenti.
- Retention separata: audit, eventi, log agent e storico dei blocchi hanno finestre configurabili.
- Cancellazione per scadenza: l'immutabilità non significa conservazione illimitata.
- Accesso ristretto: il registro amministrativo è riservato al ruolo previsto.
Valori predefiniti del software
Eventi30 giorni
Log agent14 giorni
Storico blocchi90 giorni
Audit180 giorni
I valori possono essere modificati nel deployment. Il contratto e le esigenze tecniche prevalgono sui default.
Aggiornamenti
Un binario nuovo deve dimostrare origine e integrità.
Il flusso di aggiornamento degli agent include controlli prima e dopo la sostituzione.
01
Firma Ed25519
Il manifesto viene rifiutato se la firma del checksum non è valida.
02
Checksum SHA-256
I byte scaricati devono corrispondere all'impronta dichiarata.
03
Rollout canary
La distribuzione può partire da un gruppo limitato prima di estendersi alla flotta.
04
Backup e rollback agent
Il binario precedente viene preservato temporaneamente per il ripristino in caso di mancata salute.
Confini operativi
Cosa Sentinel non deve far credere.
Controlli della piattaforma
- Protezione applicativa e host configurata.
- Comunicazione protetta tra i componenti.
- Ruoli, 2FA, audit e retention applicativa.
- Aggiornamenti verificati e rollout controllabile.
- Visibilità centralizzata su eventi e stato.
Non impliciti nel canone standard
- Backup completo di server, database o applicazioni.
- Presidio umano continuativo 24 ore su 24.
- SLA o tempi di risposta non riportati nell'offerta.
- Bonifica forense di sistemi già compromessi.
- Scrubbing di attacchi volumetrici di rete L3/L4.
Il backup temporaneo usato durante l'aggiornamento dell'agent non è un backup infrastrutturale. Backup, replica e disaster recovery dipendono dai servizi acquistati e dal deployment.
Responsible disclosure
Hai individuato una possibile vulnerabilità?
Invia una descrizione tecnica a security@gtechgroup.it, indicando componente, versione, impatto e passaggi di riproduzione. Evita test distruttivi, accesso a dati di terzi e pubblicazione prima del coordinamento.
Domande frequenti
Sicurezza spiegata senza formule vaghe.
Dove vengono conservati i dati?
Nel nucleo self-hosted definito per il cliente. Collocazione, backup e accessi dipendono dal deployment e dai servizi infrastrutturali acquistati.
Sentinel cifra i dati?
Le comunicazioni agent-server usano mTLS. I segreti applicativi possono essere cifrati con AES-256-GCM e chiave separata dal database.
L'audit non può mai essere cancellato?
Non può essere riscritto dalle normali funzioni applicative, ma può essere eliminato alla scadenza della retention configurata.
Il servizio include il backup?
Non automaticamente. Il backup infrastrutturale è distinto da Sentinel e vale soltanto quando incluso nel servizio server, VPS, hosting o nell'offerta.
Sentinel è un SOC 24/7?
No, salvo un accordo specifico. L'automazione lavora continuamente; presidio umano, canali e tempi seguono il contratto o l'eventuale SLA.
Come segnalo una vulnerabilità?
Scrivi a security@gtechgroup.it. Il contatto è pubblicato anche nel file standard security.txt del dominio.
Valutiamo sicurezza e deployment insieme.
Confermiamo controlli, retention, responsabilità e servizi infrastrutturali prima dell'attivazione.