## 仪表盘功能

Web 仪表盘提供跨基础设施的实时安全监控。

### 多用户认证

企业级访问控制，包含三种角色：

| 角色 | 权限 |
|------|------|
| **管理员** | 完全访问：管理用户、查看审计日志、所有操作 |
| **操作员** | 确认事件、重置计数器、查看所有数据 |
| **查看者** | 只读访问仪表盘和数据 |

### 双因素认证 (TOTP)

使用行业标准的 TOTP 保护您的账户：
- 兼容 Google Authenticator、Authy、Microsoft Authenticator
- 通过二维码轻松配置
- 启用后每次登录均需验证
- 启用/禁用时发送邮件通知

### 个人 API 密钥

每个用户可创建自己的 API 密钥用于自动化：
- 命名密钥（例如："CI/CD 流水线"、"监控脚本"）
- 可设置过期时间
- 可启用/禁用，无需删除
- 追踪最后使用时间
- 密钥继承用户角色的权限```bash
# Use your personal API key
curl -X POST https://sentinel.example.com/api/ingest \
  -H "Content-Type: application/json" \
  -H "X-API-Key: sk_your_personal_key" \
  -d @fingerprint.json

### JSON 输出```json
{
  "audit_summary": {
    "enabled": true,
    "period_seconds": 300,
    "authentication": {
      "failures": 6,
      "failure_users_hashed": ["user_c4c5", "user_b91b"],
      "brute_force_detected": true
    },
    "privilege_escalation": {
      "sudo_count": 81,
      "sudo_baseline_avg": 12.5,
      "sudo_deviation_pct": 548.0,
      "su_count": 5
    },
    "file_integrity": {
      "sensitive_file_access": [
        {
          "path": "/etc/shadow",
          "access": "write",
          "count": 2,
          "process": "touch",
          "process_chain": ["touch", "bash", "sshd"],
          "suspicious": true
        }
      ]
    },
    "learning": {
      "sample_count": 42,
      "confidence": "medium"
    },
    "risk_factors": [
      {"reason": "6 auth failures (200% above baseline - high)", "weight": 18},
      {"reason": "Brute force attack pattern detected", "weight": 10}
    ],
    "risk_score": 25,
    "risk_level": "high"
  }
}

### 隐私功能

- **用户名哈希**：失败的登录用户名会被哈希处理（例如 `user_c4c5`），在保留模式检测能力的同时不暴露身份信息
- **无密码**：不会捕获命令行参数和敏感数据
- **仅进程名**：完整路径经过脱敏处理以保护隐私

## Web 仪表盘

C-Sentinel 包含一个 Web 仪表盘，用于实时监控多个主机。

### 功能特性

- **多用户认证** - 基于角色的访问控制
- **双因素认证** - 支持 QR 码设置的 TOTP
- **个人 API 密钥** - 按用户分配的自动化密钥
- **管理员审计日志** - 完整的操作历史
- **会话管理** - 活跃会话控制
- **安全态势总结** - 用通俗英语描述系统状态
- **风险趋势迷你图** - 24 小时可视化历史
- **可解释风险因素** - 了解评分*为何*如此
- **学习进度指示** - 基线校准进度
- **事件历史** - 带确认的时间线
- **邮件告警** - 主动通知
- **实时监控** - 所有主机一览无余
- **历史图表** - 过去 24 小时的内存和负载
- **网络视图** - 所有监听端口和连接
- **配置追踪** - 监控文件的 SHA256 校验和

### 快速设置```bash
# Install dashboard
cd dashboard
sudo ./install-dashboard.sh

# Run database migration
sudo -u postgres psql -d sentinel -f migrate.sql

# Install 2FA dependencies (optional)
sudo /opt/sentinel-dashboard/venv/bin/pip install pyotp qrcode pillow

# Configure agent to report (with audit)
*/5 * * * * sudo /usr/local/bin/sentinel --json --network --audit | curl -s -X POST \
  -H "Content-Type: application/json" \
  -H "X-API-Key: YOUR_KEY" \
  -d @- https://your-dashboard.com/api/ingest

### Slack Webhook 配置```bash
ALERT_SLACK_ENABLED=true
ALERT_SLACK_WEBHOOK=https://hooks.slack.com/services/T00000000/B00000000/XXXXXXXXXXXXXXXXXXXXXXXX
ALERT_SLACK_CHANNEL=#security-alerts    # Optional - override default webhook channel
ALERT_SLACK_USERNAME=C-Sentinel         # Optional - bot display name

在演示模式下：
- 无需登录，访客可直接进入仪表盘
- 只读访问（查看者角色）
- 管理功能被隐藏
- 个人资料/退出链接替换为 GitHub 链接
- 黄色横幅提示为演示模式

非常适合 LinkedIn 帖子、博客文章，或让潜在客户在部署前进行探索。

## Systemd 服务

用于生产部署：```bash
# Install
sudo ./install.sh

# Enable and start
sudo systemctl enable sentinel
sudo systemctl start sentinel

# Check status
sudo journalctl -u sentinel -f

### 为什么选择C？

| 关注点 | Python | C |
|---------|--------|---|
| **依赖项** | 需要Python运行时（约100MB） | 静态二进制（约99KB） |
| **启动时间** | 约500ms解释器启动 | 约1ms |
| **内存** | 约30MB基线 | <2MB |
| **可移植性** | 需要匹配的Python版本 | 在任何POSIX系统上运行 |

## 构建```bash
make              # Release build
make DEBUG=1      # Debug build with symbols
make test         # Run all tests (unit + integration)
make install      # Install to /usr/local/bin

**Fedora/RHEL/CentOS:**```bash
sudo dnf install libcmocka-devel

**FreeBSD:**```bash
sudo pkg install cmocka

### 运行测试```bash
make test              # Run all tests (unit + integration)
make unit-test         # Run unit tests only (requires cmocka)
make integration-test  # Run integration/smoke tests only
make coverage          # Run tests with gcov coverage report
make check-cmocka      # Verify cmocka is installed correctly

将新的测试文件添加到 Makefile 的 `TEST_SOURCES` 变量中。

## 平台支持

| 平台 | 构建 | 进程探测 | 网络探测 | 审计 |
|----------|-------|---------------|---------------|-------|
| Linux | ✅ | ✅ /proc | ✅ /proc/net | ✅ auditd |
| macOS | ✅ | ✅ libproc | ✅ netstat | ❌ N/A |
| FreeBSD | ✅ | ✅ libkvm | ✅ netstat | ❌ N/A |
| OpenBSD | ✅ | ✅ libkvm | ✅ netstat | ❌ N/A |
| NetBSD | ✅ | ✅ libkvm | ✅ netstat | ❌ N/A |
| DragonFlyBSD | ✅ | ✅ libkvm | ✅ netstat | ❌ N/A |

### 要求

- 支持 C99 的 GCC 或 Clang
- GNU Make（BSD 上为 gmake）
- 支持的平台：
  - Linux（内核 3.x+）
  - macOS（10.12+）
  - FreeBSD（12+）
  - OpenBSD（7.x）
  - NetBSD（9.x）
  - DragonFlyBSD（6.x）
- auditd（可选，仅 Linux 下用于 `--audit` 标志）

## 项目结构```
c-sentinel/
├── include/
│   ├── sentinel.h        # Core data structures
│   └── audit.h           # Audit integration types
├── src/
│   ├── main.c            # CLI entry point
│   ├── prober.c          # System probing (/proc)
│   ├── net_probe.c       # Network probing
│   ├── audit.c           # Auditd log parsing
│   ├── audit_json.c      # Audit JSON serialisation
│   ├── process_chain.c   # Process ancestry walking
│   ├── baseline.c        # Baseline learning
│   ├── sha256.c          # Pure C SHA256
│   └── ...
├── dashboard/            # Flask web dashboard
├── deploy/               # Systemd service files
└── docs/
    ├── AUDIT_SPEC.md     # Audit integration design
    └── DESIGN_DECISIONS.md