LemonSees: мониторинг серверов по SSH без агентов и его риск

Агента поставить нельзя или лень

Условный пример. Три сервера у подрядчика, один на чужом хостинге, на пятом админ запретил что-либо ставить. Wazuh просит агента на каждый хост, менеджер и индексатор, я разбирал это в статье про Wazuh. Там, где агент невозможен, остаётся ходить на серверы руками, как в ежемесячном IT-обходе.

В LemonSees роль агента играет SSH-сессия. Панель подключается по ключу, запускает на сервере короткие shell-скрипты и разбирает вывод. Между опросами на сервере ничего не запущено.

Что за проект и что я проверил

Проверял 23.10.2026 по репозиторию Altumptic/LemonSees. Описание совпало с постом: безагентный SOC и GRC, SIEM, FIM, MITRE ATT&CK, комплаенс по SSH. Файл LICENSE содержит MIT. Репозиторий создан 23.07.2026, не архивирован, 24 звезды, 3 форка, открытых issues нет. Релиз v3.0.0 и последний коммит датированы 15.10.2026. Всего 11 коммитов, 9 из них с одного аккаунта. До версии 2.0.0 проект назывался SHOK. К релизу v3.0.0 приложены portable .exe (около 96 МБ), AppImage (около 139 МБ) и архивы, скачиваний не больше двух на файл. Подписи кода в настройках сборки не вижу. README на английском, комментарии в коде на украинском, русский словарь интерфейса почти втрое короче английского по числу строк, часть текстов может остаться на украинском.

Что панель делает по SSH

SIEM скромнее названия. Я нашёл разбор журнала sshd (journalctl или auth.log) за 48 часов, проверку числа неудачных входов раз в 5 минут с порогом 300 за сутки и просмотр хвоста файлов из /var/log. Хранилища логов, поиска по ним и своих правил корреляции в серверной части нет.

FIM берёт sha256, права и владельца у 19 файлов (passwd, shadow, sudoers, sshd_config, authorized_keys root и других) и файлов из каталогов cron.d, sudoers.d, systemd/system. Эталон хранится у панели. Первый снимок автоматически становится эталоном, и если сервер уже взломан, эталон запомнит взлом. Проверка запускается запросом из интерфейса, а по расписанию работает только счётчик перебора SSH.

MITRE ATT&CK здесь раскраска журнала инцидентов: 18 правил подбирают технику по словам в названии и категории. Сами инциденты создают автоматически два правила, перебор SSH и изменение файлов.

GRC включает 15 автоматических проверок (запрет входа root, пароли в SSH, firewall, auditd, fail2ban и так далее) с номерами CIS и NIST и 8 ручных пунктов (резервные копии, MFA, план реагирования), которые отмечает человек. В коде автопроверки названы CIS-подобными, сертифицированного бенчмарка тут нет. PCI DSS, 152-ФЗ, 187-ФЗ и требований ФСТЭК я не нашёл.

Где лежат доступы и чем опасна сама панель

Файл ключа читается с диска по указанному пути и в конфиг не копируется. Пароль входа и фраза ключа записываются в hosts.json открытым текстом, в коде об этом комментарий. Портативный .exe кладёт данные в папку LemonSees-data рядом с собой: унесёте программу на флешке, унесёте и пароли.

Проверки отпечатка SSH-сервера (known_hosts или hostVerifier) в коде нет, подмена сервера по пути не будет замечена. Пользователь по умолчанию root.

Вход в веб-режиме один общий токен: сессия 12 часов, 10 попыток за 10 минут с адреса, ролей и отдельных пользователей нет, в журнале действий везде записан «analyst». README называет журнал неизменяемым, по коду это JSONL-файл с обрезкой по сроку хранения (по умолчанию 90 дней). Сам HTTPS панель не делает. Без токена на 127.0.0.1 авторизации нет вообще.

Панель не только читает. В ней есть SSH-терминал и команды docker start, stop и rm -f. Утечка hosts.json или входа в панель равна доступу ко всем серверам. Тот же риск я разбирал у Fail2Ban UI: в открытый интернет такие панели не выставляют.

Где это не сработает

Права. Метрики, порты и процессы читаются обычным пользователем. Для sshd -T, auth.log и shadow нужен root или sudo без пароля. FIM проверяет именно sudo -n true, поэтому sudo только на sha256sum не сработает: хэш shadow запишется как «?», и изменение не увидят. Без прав проверки настроек покажут «нет данных».

Нагрузка. Один скрипт за опрос, по умолчанию раз в 5 секунд (от 2 до 120 в настройках), внутри пауза 0,3 секунды для замера CPU. Разбор журнала за 48 часов и поиск SUID-файлов тяжелее. Замеров нет. Во время FIM скрипт на секунды создаёт временный файл в /tmp.

Сеть. IP атакующих уходят на ip-api.com по http без шифрования, чтобы показать страну. Отключается ли это в настройках, не проверял. Телеметрии и аналитики в серверном коде я не нашёл.

Прочее. Скрипты рассчитаны на Linux, Windows-серверов в них нет. Уведомлений на почту или в Telegram нет, только окно и системные уведомления рабочего стола. Десктопная версия работает, пока открыто окно. Опрос не заменяет агента в реальном времени: файл, изменённый и возвращённый между проверками, пройдёт незамеченным. Тестов в репозитории нет, независимого аудита тоже. README сравнивает проект с Wazuh, это слова автора. Зелёные проверки не равны юридическому соответствию: аудит по 152-ФЗ отдельная работа.

Что можно сделать уже сейчас

Откройте демо-режим (кнопка «Try the demo»): шесть вымышленных хостов, серверы не нужны. Полчаса хватит понять, нужны ли вам такие экраны.

Проверьте на тестовом VPS. Заведите отдельного пользователя без root, в группе adm для чтения логов, отдельный ключ только для панели и в authorized_keys ограничьте источник параметром from с адресом панели.

Держите панель на отдельной машине с шифрованным диском, права на hosts.json только владельцу, веб-режим за VPN или TLS-прокси с длинным токеном. Портативный вариант на флешке не носите. Сетевой трафик LemonSees не смотрит, для офиса есть Maltrail.

Развернуть, ограничить права и разобрать находки могу в рамках услуги по кибербезопасности.

Частые вопросы

Нужен ли root на серверах?

Для базовых метрик нет. Для sshd, shadow и журналов нужен root или sudo без пароля. Root для панели с терминалом я бы не давал и мирился с неполным охватом.

Заменит ли он Wazuh?

Для событий в реальном времени, Windows и десятков хостов нет. Для пяти-десяти Linux-серверов, где агент недопустим, это временный способ получить снимок состояния.

Годится ли отчёт для проверяющих?

Как рабочий материал да. Как доказательство соответствия закону нет: набора норм 152-ФЗ или ФСТЭК в проекте нет.

Коротко о главном

LemonSees под MIT даёт обзор безопасности Linux-серверов без агентов: перебор SSH, дрейф критичных файлов и 15 проверок настроек. Проект молодой, один разработчик, пароли хранятся открытым текстом, отпечаток сервера не проверяется.

Если хотите, чтобы я развернул такой мониторинг по SSH с минимальными правами и разобрал находки, напишите мне в Telegram кодовое слово «ХРОНИКА».