O espelho Tsinghua está configurado em pyproject.toml:

2.2 Preparar configuração de ativos

Em seguida, atualize fleet.env com seus hosts e credenciais reais.

2.3 Executar

3. Estrutura do Projeto

4. Referência de Configuração do fleet.env

O formato é CHAVE=VALOR. Linhas vazias e comentários com # são ignorados.

4.1 Chaves globais

MODE

• Modo de execução.
• Valores:
  • audit: apenas detecção, sem remediação.
  • fix: detecção e execução do fluxo de remediação.
• Padrão: audit

AUTO_REBOOT

• Se deve reiniciar o host automaticamente após remediação bem-sucedida.
• Valores: 0 ou 1
• Padrão: 0
• Efetivo apenas quando MODE=fix.

SSH_TIMEOUT

• Tempo limite de conexão/autenticação SSH (segundos).
• Tipo: inteiro
• Padrão: 12

MAX_WORKERS

• Tamanho de concorrência da frota (workers do pool de threads).
• Tipo: inteiro
• Padrão: 8

REPORT_DIR

• Diretório de saída para os relatórios gerados.
• Tipo: caminho relativo ou absoluto
• Padrão: ./reports

PROGRESS_HEARTBEAT_SECONDS

• Intervalo de heartbeat para logs de progresso em tempo real.
• Tipo: inteiro (segundos)
• Padrão: 5

DEVICE_MAX_DURATION_SECONDS

• Tempo máximo total de execução por dispositivo antes de avisos de timeout/stall.
• Tipo: inteiro (segundos)
• Padrão: 1800

PROGRESS_LOG_TO_FILE

• Se deve persistir logs de progresso em REPORT_DIR.
• Valores: 0 ou 1
• Padrão: 1

FLEET_COUNT

• Contagem de slots de dispositivos. O carregador analisa 1..FLEET_COUNT.
• Tipo: inteiro
• Se DEVICE_n_HOST estiver vazio, esse slot é ignorado.

4.2 Chaves por dispositivo

Cada host usa o prefixo DEVICE_{n}_, como DEVICE_1_*, DEVICE_2_*.

DEVICE_n_NAME

• Nome de exibição nos relatórios.
• Opcional. Se vazio, usa automaticamente device_n.

DEVICE_n_HOST

• IP do host de destino ou nome DNS.
• Obrigatório para esse slot.

DEVICE_n_PORT

• Porta SSH.
• Padrão: 22

DEVICE_n_USER

• Usuário SSH.
• Padrão: root

DEVICE_n_PASSWORD

• Autenticação por senha SSH.
• Use com ou em vez de DEVICE_n_KEY.
• O script usa apenas credenciais explicitamente definidas em fleet.env.

DEVICE_n_KEY

• Caminho da chave privada SSH.
• Exemplo: ./keys/node-1_ed25519
• Se tanto DEVICE_n_PASSWORD quanto DEVICE_n_KEY estiverem vazios, a conexão falha rapidamente.

DEVICE_n_SUDO_PASSWORD

• Senha sudo para usuários não-root.
• Usada para comandos de remediação.

4.3 Exemplo completo

5. Modos de Execução

5.1 Modo de auditoria (recomendado como primeira passagem)

Comportamento:

• Conectar aos hosts
• Coletar dicas de kernel/módulo/patch
• Classificar status de risco
• Gerar relatórios

5.2 Modo de correção

Comportamento:

• Aplicar mitigação temporária primeiro:
  • escrever /etc/modprobe.d/disable-cve-2026-31431-algif-aead.conf
  • tentar descarregar algif_aead
• Executar atualização de kernel específica da distribuição
• Reinicialização opcional com base em AUTO_REBOOT

6. Definições de Status

SAFE

• Dicas de patch encontradas e algif_aead não está carregado.

MITIGATED

• Dicas de mitigação encontradas enquanto as dicas de patch ainda não estão claras.

NEEDS_PATCH

• algif_aead está disponível/carregado e as dicas de patch estão ausentes.

UNKNOWN

• Evidências insuficientes para classificar.

FAILED

• Falha no login SSH/execução de comando.

7. Saídas de Relatório

Cada execução gera 3 arquivos em REPORT_DIR:

• cve_2026_31431_<timestamp>.json
• cve_2026_31431_<timestamp>.csv
• cve_2026_31431_<timestamp>.md
• progress_<timestamp>.log (logs de progresso e heartbeat em tempo real)

Campos principais:

• name, host
• status
• kernel, os
• algif_loaded, algif_available
• patch_hint
• fixed, rebooted
• error

8. Notas de Segurança

• Não faça commit de fleet.env ou chaves privadas.
• Use contas operacionais com privilégios mínimos quando possível.
• Tire snapshots/backups antes da remediação em produção.
• Rollout recomendado: audit -> fix -> re-auditoria.

9. Solução de Problemas

ModuleNotFoundError: No module named 'paramiko'

• Execute uv sync.

Muitos hosts estão FAILED

• Verifique conectividade, credenciais SSH, permissão sudo e estado da chave do host.

BadHostKeyException

• A impressão digital do host entra em conflito com o registro atual de known_hosts.
• Isso não é fallback de autenticação por chave do sistema; a autenticação ainda usa apenas credenciais de fleet.env.
• Verifique a identidade do host fora de banda e atualize known_hosts:
  • ssh-keygen -R <host>
  • ssh-keyscan -H <host> >> $env:USERPROFILE\.ssh\known_hosts

Server ... not found in known_hosts

• O modo estrito de chave de host está habilitado e a impressão digital do host está ausente.
• Adicione a chave do host a known_hosts e execute novamente.

Kernel atualizado, mas o status ainda é arriscado

• Pode ser necessário reiniciar para inicializar com o kernel corrigido.