Was Sie vermutlich wissen wollen.

Sentinel ist ein Dienst für die automatische Sicherheit und Wartung von Linux-Servern mit Ubuntu oder Debian: Patch-Management, Schutz des SSH-Zugangs und ein Rückweg vor jedem Update. Sentinel prüft jeden Server alle zehn Minuten, spielt Sicherheitsupdates mit Rückweg ein, sperrt Angreifer am SSH-Zugang, meldet fremde Schlüssel und belegt jeden Schritt in einem Protokoll mit Prüfsummenkette. Die KI erklärt und berichtet, führt aber nichts aus. Gebaut von der LimeByte GmbH in Köln.

Für Unternehmen, die eigene Linux-Server betreiben und keinen Administrator für die Nachtschicht haben: IT-Leitung und Geschäftsführung im Mittelstand, Agenturen mit Kundenservern und WordPress, Systemhäuser, die Server vieler Kunden warten. Von einem Server bis zur Flotte.

Für Windows-Server gar nicht. Rocky Linux, AlmaLinux und RHEL überwacht Sentinel nur, wartet sie aber nicht. Schadsoftware und Angriffe auf Webanwendungen erkennt Sentinel nicht; Arbeitsplätze, E-Mail und Netzwerk deckt es nicht ab. Dafür gibt es Sicherheitsanalysen und Penetrationstests von LimeByte.

Nein, Sentinel arbeitet ohne Agent. Es meldet sich per SSH mit einem eigenen Nutzer und Schlüssel an, es wird keine Software installiert. Entfernen Sie Nutzer und sudo-Regel, ist Sentinel weg.

Ja. Die Steuerzentrale läuft bei uns oder als kleine virtuelle Maschine bei Ihnen. Dann bleiben Daten, Protokoll und Zugänge in Ihrem Haus, und Sie hinterlegen auf Wunsch Ihren eigenen KI-Schlüssel.

Ja. Bei Hetzner Cloud legt Sentinel vor größeren Eingriffen einen Schnappschuss der ganzen Maschine an. Server bei anderen Anbietern und eigene Hardware wartet Sentinel ebenso; der Rückweg läuft dort über den festgehaltenen Paketstand und die gesicherte Konfiguration.

Einen festen Preis je Server und Monat, netto: Beobachten 14 €, Wartung 37 €, Flotte ab 25 Servern 29 €, ab 100 Servern 22 €, ab 500 Servern 4 €. Beobachten und Wartung sind monatlich kündbar. Den Vergleich mit eigenem Administrator, IT-Dienstleister oder Managed Server rechnet der Kostenrechner.

Beim Managed Server wartet der Hoster seine Maschine nach seinen Regeln. Bei Sentinel bleibt Ihr Server, wo er ist, und gehört Ihnen weiter: Sie bestimmen Wartungsfenster, Stufe und Freigaben, lesen jedes Protokoll und können den Zugang jederzeit entziehen. Sentinel übernimmt die Routine: Sicherheitsupdates, Wartungsfenster, Rückrollung, Sperren, Lagebild und Bericht. Einen IT-Dienstleister ersetzt es nicht ganz: Freigaben für Neustarts und Versionsupgrades, Störungen außerhalb der Wartung und Ihre eigenen Projekte bleiben bei Ihnen oder Ihrem Dienstleister. Ein IT-Dienstleister oder Systemhaus kann Sentinel im Tarif Flotte für seine Kunden betreiben.

Die beiden spielen Updates ein und sperren Rateversuche. Sentinel prüft zusätzlich vor und nach jedem Eingriff und rollt bei einem Fehler zurück. Es sagt Ihnen je Server, ob er von einer aktiv ausgenutzten Lücke betroffen ist, erkennt fremde SSH-Schlüssel und startet nur mit Abbild der Maschine oder mit Ihrer Freigabe neu. Alle Server stehen an einem Ort, mit Morgenbericht und Protokoll.

Sentinel erkennt einen aktiven unattended-upgrades und zeigt das an. Ob der Updater des Systems weiterläuft oder Sentinel die Updates übernimmt, entscheiden Sie.

Sie schreibt zu jedem Update-Lauf in klarem Deutsch, was ansteht und warum, das steht im Wartungsbericht. Sie liest den Plan gegen, schreibt den Morgenbericht und sieht auf Wunsch nach dem Update auf Ihre Website. Entscheiden und handeln tut sie nicht, das macht die Automatik nach Ihren Regeln. Ein Einwand der KI hält den Lauf nicht an. Er steht im Protokoll und in der Zeitleiste.

Servernamen, Titel und Ergebnis der Wartungen, Titel von Vorfällen und Meldungen mit gekürzten IPv4-Adressen sowie Zahlen zu Befunden. Zugangsdaten, Logs und Paketlisten bekommt sie nicht, und ein Filter entfernt erkennbare Schlüssel und Passwörter aus jedem Text. Nur wenn Sie den Blick auf die Website einschalten, gehen Bildschirmfotos Ihrer Seite an Anthropic: vor und nach jeder Wartung und in der Überwachung bis zu halbstündlich, bei Prüfungen mit Anmeldung auch aus dem angemeldeten Bereich.

Auf dem Server Rateversuche am SSH-Zugang und unbekannte SSH-Schlüssel. Dazu zeigt Sentinel, welche aktiv ausgenutzten Lücken aus dem Katalog der US-Behörde CISA und welche Ubuntu-Sicherheitshinweise Ihre Server betreffen. Schadsoftware, Angriffe auf Webanwendungen und WordPress-Anmeldungen erkennt es nicht. Arbeitsplätze, E-Mail und Netzwerk deckt es nicht ab.

Einen eigenen Nutzer je Server mit eigenem Schlüssel und einer sudo-Regel. Diese Regel gibt Sentinel volle Administratorrechte. Begrenzt wird in der Steuerzentrale: Sie schickt nur fest hinterlegte Befehle aus einem Katalog von 65 Handgriffen und festen Prüfungen, und sie prüft jeden gegen eine Verbotsliste. Eine freie Kommandozeile gibt es nicht. Entfernen Sie die Regel, kann Sentinel dort nichts mehr. Das ist der harte Aus-Schalter.

Die Steuerzentrale ist der wertvollste Teil, weil sie auf allen angeschlossenen Servern Administratorrechte hat. Für Ihre eigene Steuerzentrale empfehlen wir deshalb eine kleine VM nur für Sentinel. Geheimnisse liegen verschlüsselt, für Administratoren lässt sich ein zweiter Faktor zur Pflicht machen, und jede Handlung steht im Protokoll.

Sentinel prüft vor und nach jedem Eingriff. Stehen Dienste still, startet es sie neu. Reicht das nicht, gehen Pakete und Konfiguration auf den alten Stand. Gelingt auch das nicht, stoppt Sentinel die Automatik dieses Servers, bis Sie sie wieder freigeben, und alarmiert Sie sofort, auch nachts. Neustarts und Versionsupgrades lassen sich nicht zurückrollen. Deshalb fragt Sentinel dort ab Werk vorher.

Sicherheitsupdates ohne Wartezeit, in der Regel binnen einer Stunde, auch in Sperrzeiten. Alles Größere nur im Wartungsfenster, ab Werk von 3 bis 5 Uhr, nicht am Wochenende und nicht an gesetzlichen Feiertagen in NRW. Fenster und Sperrzeiten stellen Sie je Server ein.

Ab Werk nicht. Auf der Stufe „Voll“ fragt Sentinel per Freigabe, ein Klick in der Anwendung genügt, und die Freigabe gilt 24 Stunden. Auf den Stufen darunter erinnert Sentinel nur, und Sie starten selbst neu. Wenn Sie es auf der Stufe „Voll“ erlauben, startet Sentinel selbst neu, sofern vorher ein Abbild der ganzen Maschine gelungen ist. Ohne Abbild nur, wenn Sie das Risiko in der Regel ausdrücklich übernehmen.

Die Stufe „Voll“, den eingeschalteten Schalter für WordPress und WP-CLI auf dem Server. Den WordPress-Kern aktualisiert Sentinel nicht automatisch, und Änderungen einer Erweiterung an der Datenbank rollt es nicht zurück.

Debian und Ubuntu. Im Betrieb lief Sentinel bisher auf Ubuntu 18.04 bis 26.04. Auf Rocky, Alma und RHEL überwacht Sentinel nur und spielt nichts ein. Windows unterstützt es nicht.

Einen Debian- oder Ubuntu-Server, den unsere Steuerzentrale per SSH erreicht. Sie steht auf einem Server bei Hetzner in Falkenstein, Deutschland. Die feste IP-Adresse der Steuerzentrale nennen wir Ihnen mit der Testvereinbarung, damit Sie sie in Ihrer Firewall freigeben können.

Auf dem Server legen wir gemeinsam einen eigenen Nutzer mit Schlüssel und sudo-Regel an, der Einrichtungs-Assistent erzeugt den Schlüssel. Ist Ihr Server nur im eigenen Netz erreichbar, sprechen Sie uns an. Dann klären wir, ob die Steuerzentrale bei Ihnen laufen kann.

Das hängt davon ab, wo die Steuerzentrale steht. Steht sie bei Ihnen, haben wir keinen Zugang, solange Sie uns keinen geben. E-Mail-Meldungen laufen heute allerdings über den Versand von LimeByte. Wer das nicht möchte, nutzt Google Chat, Slack oder Teams. Webhook und Telegram lassen sich je Meldungsart dazuschalten. Im kostenlosen Test hängt Ihr Server an unserer Steuerzentrale, damit wir mitsehen, was Sentinel sieht. Danach ziehen wir die Steuerzentrale zu Ihnen um, wenn Sie das wollen.

Sie bleiben Betreiber Ihrer Server. Für den Test regelt das die Testvereinbarung, danach der Vertrag mit seiner Haftungsregelung. Das Protokoll zeigt jederzeit, was Sentinel getan hat und was nicht. Den Vertragsentwurf bekommen Sie mit dem Angebot, auf Wunsch schon vorher.

Ja. Weil Sentinel auf Ihre Server zugreift, verarbeiten wir dabei Daten in Ihrem Auftrag. Den Vertrag zur Auftragsverarbeitung nach DSGVO schließen wir spätestens mit der Einrichtung des Tests ab. Wer die KI in den USA nicht einsetzen möchte, schaltet sie ab. Sentinel wartet dann genauso.

Läuft die Steuerzentrale bei Ihnen, läuft sie weiter. Es gibt keinen Lizenzserver, Daten und Protokoll liegen in Ihrer Datenbank, es fehlen nur Updates und Betreuung. Wollen Sie Sentinel ganz loswerden, entfernen Sie Nutzer und sudo-Regel auf jedem Server. Zurück bleiben die Ordner mit Sicherungen und Beweisen, gesetzte Sperren fallen mit dem nächsten Neustart weg.

Beobachten und Wartung monatlich, Flotte nach 12 Monaten, ab 500 Servern nach 24 Monaten. Eine E-Mail genügt. Ihre Daten bleiben bei Ihnen.

Nein. Sentinel von LimeByte, erreichbar unter sentinel-shield.de und deshalb auch „Sentinel Shield“ genannt, ist ein eigenständiges Produkt der LimeByte GmbH aus Köln für Wartung und Sicherheit von Linux-Servern. Microsoft Sentinel (eine SIEM-Plattform) und SentinelOne (ein Endpunktschutz) sind Produkte anderer Hersteller; es besteht keine Verbindung.