# Implant

Sistema automatizado de implantacao e verificacao de conformidade para servidores Linux, escrito em Rust.

# Visao Geral

# O que e o Implant?

O Implant e um binario unico que analisa, configura e hardena servidores Linux automaticamente. Ele executa uma serie de verificacoes de conformidade e aplica correcoes quando necessario.

O binario e compilado estaticamente (musl), sem dependencia de glibc, e roda em qualquer distribuicao Linux nas arquiteturas x86_64 e aarch64.

# Problemas que resolve

1. Configuracao manual repetitiva - Automatiza setup completo de servidores
2. Inconsistencia entre servidores - Garante padrao uniforme em toda a frota
3. Seguranca basica negligenciada - Aplica hardening automaticamente
4. SSH mal configurado - Porta customizada, rate limiting, penalties, rollback e watchdog
5. Docker sem limites - Log rotation, networks, configuracao otimizada

# Funcionalidades

# Verificacao de Conformidade

• 8 modulos: fundamentals, hardening, docker, network, monitoring, traefik, agent, nodejs
• check sem --auto-fix so le; mudancas de risco (ex.: porta SSH) ficam em comandos dedicados
• Modo dry-run para preview sem aplicar mudancas
• Relatorio detalhado com status de cada verificacao

# Correcao Automatica

• Flag --auto-fix aplica todas as correcoes
• Rollback automatico em caso de falha
• Execucao modular (escolher modulos especificos)

# SSH Key Management

• Gerenciamento de chaves no authorized_keys
• Adicao de chaves publicas via texto ou URL
• Whitelist automatica de IPs (fail2ban, UFW, SSH)
• Alias sugerido para conexao rapida

# SSH Safety

• Snapshots automaticos antes de qualquer modificacao SSH
• Watchdog com reversao automatica em 5 minutos se porta nao confirmada
• Rollback para qualquer snapshot anterior
• Emergency reset que reverte TODAS as configs de seguranca

# Instalacao de Apps

• Componentes opcionais via implant install (node, claude-code, sysinfo, backupally, container, deployally, runner)
• Download arch-aware, verificacao e instalacao automatica
• Self-update do proprio Implant (implant self-update)

# Setup Claude Code

• Cria usuario dedicado claudecode
• Configura Docker, sudoers, ACLs, limites
• Instala guard-rail CLAUDE.md
• Auto-update via cron

# Seguranca de Rede

• TLS Pinning (SPKI) com pins compilados no binario
• Verificacao de integridade dos certificados dos servidores de distribuicao
• Assinatura minisign obrigatoria ao baixar de host sem pin embutido
• Cliente HTTP seguro integrado

# VPN WireGuard (v2.48.0+)

• wireguard - Instala/adota a VPN do servidor, gerencia devices (peers) e a porta UDP no firewall
• Chave privada de cada device exibida uma unica vez na criacao

# Stack de Seguranca Ativa (v2.19.0+)

• rate-limit - Rate limiting via iptables hashlimit (SSH + sweep)
• auto-ban - Daemon que bana IPs ofensivos detectados em 4 sinais
• geo-block - Bloqueia trafego INPUT por pais via IPDeny + ipset (modes: blocklist | allowlist)
• feed-block - Blocklist externa de redes hostis (padrao Spamhaus DROP) em ipset, com timer semanal
• capture - Daemon tcpdump rotativo + extract query expressivo
• audit - auditd STIG-light + events query + threat-status collector
• threat-status - 9 collectors com severity ok/warn/crit + transitions JSONL
• emergency-mode - Desabilita temporariamente as features opt-in com deadman restore
• ban / unban - Ban manual de IP/CIDR no ipset central (INPUT + DOCKER-USER)
• traefik-edge - Corta arquivos sensiveis no ingresso do Traefik (403 antes de qualquer servico)
• traefik-ratelimit - Rate-limit L7 por IP no Traefik (429 antes do servico)
• firewall audit - Auditoria somente leitura do firewall (policies, ganchos, regras cruas, boot)

# Comandos

# Conformidade e provisionamento

# Seguranca (stack v2.19.0+)

# Alertas

# VPN

# Sistema

# SSH

# Outros

# Distros Suportadas

# Proximos Passos

1. Instalacao - Instale o Implant
2. Modulos - Entenda cada modulo
3. Referencia CLI - Todos os comandos
4. Troubleshooting - Solucao de problemas

# Links Uteis

• Changelog completo
• FAQ
• Binario x86_64: https://implant.ccs.systems/x86_64/implant
• Binario aarch64: https://implant.ccs.systems/aarch64/implant
• Instalador: https://implant.ccs.systems/init.sh