Conector WAF

Conector WAF Dolutech — Arquitetura e Instalação

DolutechAI

  • aapanel
  • cloudpanel
  • coraza
  • cpanel
  • crs
  • directadmin
  • imunify360
  • owasp
  • plesk
  • reverse-proxy
  • soc
  • waf

Binário Go standalone, compatível com Linux e Windows, com núcleo Coraza + OWASP CRS e as camadas de inteligência SOC, patch virtual e anti-malware da Dolutech.

O Conector WAF é o agente de proteção perimetral da Dolutech AI: um binário standalone escrito em Go, totalmente compilado (sem dependências de runtime externas), o que o torna compatível com qualquer servidor Linux ou Windows — de uma VPS mínima a um cluster dedicado.

Visão geral

  • Standalone e compilado: um único binário por arquitetura, sem necessidade de instalar Python, Node, Java ou qualquer runtime intermediário.
  • Multiplataforma: Linux (amd64/arm64) e Windows.
  • Reverse proxy transparente: o soc-waf assume as portas públicas (:80/:443) e encaminha o tráfego limpo para o servidor web de origem, que passa a escutar apenas em 127.0.0.1:8080 (loopback).
  • Regras padrão OWASP: motor de regras alinhado ao OWASP Core Rule Set (CRS v4), cobrindo as classes de ataque mais comuns (SQLi, XSS, RCE, LFI/RFI, protocol violations, etc.).

Compatibilidade com painéis (Linux)

Como atua como reverse proxy à frente do nginx/Apache — e não como módulo acoplado a um painel específico — o Conector WAF funciona de forma nativa em qualquer stack Linux, incluindo:

  • cPanel
  • DirectAdmin
  • Plesk
  • aaPanel
  • CloudPanel
  • Qualquer outro painel ou stack Linux "sem painel" (servidor gerido manualmente)

O instalador reescreve os vhosts públicos para o loopback automaticamente, sem exigir configuração manual do painel.

Compatibilidade com outros WAFs do mercado

O Conector WAF Dolutech não exige a remoção de soluções de segurança já instaladas no servidor. Ele foi desenhado para atuar em conjunto com WAFs de mercado que o cliente já possa ter — como Imunify360, CPGuard e BitNinja — sem entrar em conflito.

Nesses cenários, o soc-waf funciona como uma camada adicional que:

  • Reforça a proteção com as Sigma Rules otimizadas da Dolutech, complementando as regras já aplicadas pela solução existente.
  • Adiciona a camada de SOC — correlação, monitorização, incidentes e resposta via SOAR — que a maioria dos WAFs tradicionais não oferece nativamente.
  • Continua a alimentar o mesmo pipeline de ingestão e análise (Universal Connectors → Orchestrator → agentes especialistas → Dolutech SOC Model V1) descrito abaixo, agora enriquecido com os eventos de ambas as soluções.

Não é necessário desinstalar o Imunify360, o CPGuard, o BitNinja ou qualquer outro WAF já em produção para adotar o Conector WAF Dolutech.

Núcleo técnico: Coraza + camadas Dolutech

O motor de inspeção de tráfego é o Coraza, um WAF engine open-source compatível com a sintaxe ModSecurity, executando o OWASP CRS v4. Sobre esse núcleo open-source, a Dolutech AI adiciona as suas próprias camadas proprietárias:

Camada Função
Inteligência SOC Correlação dos eventos do WAF com o restante do SOC AI Agent (XDR, SIEM, SOAR)
Monitorização SOC Envio contínuo de heartbeat, métricas e eventos de bloqueio para o painel central
Patches virtuais Mitigação de vulnerabilidades conhecidas (CVEs) via regras aplicadas antes de um patch oficial estar disponível
Observabilidade e compliance Trilhas de auditoria e relatórios prontos para requisitos de compliance
Sigma Rules otimizadas Regras de deteção adaptadas e otimizadas pela Dolutech para reduzir falsos positivos
Análise de malware em tempo real Inspeção de payloads/uploads com o modelo proprietário Dolutech, além das assinaturas estáticas

Da ingestão à análise: o que acontece com cada evento do WAF

Cada bloqueio, anomalia ou payload suspeito gerado pelo soc-waf segue o mesmo pipeline de inteligência do SOC AI Agent:

  1. Ingestão — o evento (waf_block, patch virtual acionado, upload suspeito, etc.) chega pelo endpoint padronizado de Universal Connectors.
  2. Orquestração — um Orchestrator Agent classifica o evento pelo tipo de log e encaminha-o ao especialista correto entre os 8 agentes especialistas do SOC AI Agent — no caso do WAF, tipicamente os domínios Web & Applications e Malware & Payloads.
  3. Correlação — o evento é cruzado com Sigma Rules otimizadas, com o IOC Feed em tempo real e com a DolutechAI Threat Network (rede colaborativa que partilha apenas ameaças reais confirmadas, nunca dados de feed público).
  4. Modelo proprietário — a análise de malware/payload em tempo real é feita pelo Dolutech SOC Model V1, o LLM de cibersegurança proprietário da Dolutech, o mesmo motor por trás do SOC AI Agent e do SOC AI WebApps.
  5. Resposta — conforme a severidade e a pontuação de risco, o evento pode gerar um incidente e acionar playbooks SOAR automaticamente (bloqueio, isolamento) ou aguardar validação humana em modo human-in-the-loop, dependendo do plano.
  6. Auditoria — todo o percurso do evento fica registado em trilha de auditoria imutável, pronta para requisitos de compliance (GDPR, RGPD, LGPD).

Universal Connectors

Este WAF é um dos tipos de conector do módulo Universal Connectors, que permite ingerir eventos de segurança de qualquer SIEM, firewall ou ferramenta de monitorização usando endpoints padronizados. Todos os formatos de conector partilham a mesma API Key de autenticação da sua conta Dolutech AI.

Tipos de conector disponíveis incluem, entre outros: SOC Collector, SOC XDR, Linux WAF, JSON/REST API genérico, Wazuh SIEM, Splunk HEC, CEF (ArcSight), Syslog (RFC 5424/3164), Webhook genérico, além de SDKs dedicados para Replit, Vercel/Next.js, WordPress, PrestaShop, Magento e Lovable.

Conexão — Linux WAF (Agent)

Nota: o endpoint de ingestão é específico da sua instância/região. O URL abaixo é um exemplo — confirme o endpoint real no seu painel Dolutech AI em Endpoints.

URL de ingestão

POST https://<sua-instancia>.dolutech.ai/api/v1/ingest/v1/ingest/json

Autenticação

X-API-Key: soc_YOUR_API_KEY

Importante: a API Key acima é usada apenas no registo inicial do agente — o handshake em que o soc-waf se enrola junto à plataforma e recebe a sua chave de instância exclusiva. A partir daí, a sincronização contínua de eventos entre o agente e o SOC deixa de depender da API Key em cada requisição: passa a ser feita ponta-a-ponta com assinatura HMAC-SHA256, de forma assíncrona e com o tráfego cifrado em trânsito.

Exemplo de payload

{
  "timestamp": "2026-08-27T10:00:00Z",
  "source": "soc-waf",
  "log_type": "waf_block",
  "severity": "high",
  "message": "CRS anomaly exceeded — request blocked before origin"
}

Downloads

  • Linux (amd64) — binário + assinatura .sig
  • Linux (arm64) — binário + assinatura .sig
  • Instalador Linux (install.sh)
  • Bundle opcional collector + WAF (install-web-stack.sh)

Os links de download específicos da sua instância estão disponíveis no painel Dolutech AI, em Endpoints → Linux WAF.

Instalação num comando

  1. No painel Dolutech AI, crie um Endpoint e marque o tipo Linux WAF (ou Firewall/WAF). O ecrã seguinte já apresenta o comando de instalação pronto.
  2. Copie o comando — ele já inclui o SOC_INSTALL_TICKET: o instalador enrola-se e autentica-se sozinho. O ticket é de uso único e válido por 24 horas; serve apenas para esse handshake inicial — a API key durável nunca aparece na linha de comando.
  3. Cole o comando no host como root. O instalador descarrega o install.sh, verifica o SHA-256 publicado, resgata o ticket e grava a chave da instância WAF em disco.
  4. O instalador confirma o binário assinado (product=waf), grava o serviço systemd e o ficheiro de configuração YAML, e reescreve os vhosts públicos para o loopback.
  5. O tráfego passa a entrar pelo soc-waf nas portas :80/:443; o nginx/Apache de origem passa a escutar apenas em 127.0.0.1:8080. Os modos GeoIP e Bot Mode reutilizam as mesmas APIs de política do plugin WordPress. A partir deste ponto, todo o tráfego de sincronização com o SOC segue o modelo HMAC-SHA256 assíncrono ponta-a-ponta descrito acima.

Existe também um one-liner opcional que instala collector + WAF no mesmo endpoint. Nesse caso, exporte primeiro a variável SOC_COLLECTOR_API_KEY — a página de instalação nunca a interpola automaticamente por segurança.

Filtragem por severidade

Cada endpoint pode selecionar quais níveis de severidade aceitar: info, low, medium, high, critical. Logs fora dos níveis selecionados são descartados já na ingestão — exceto ameaças efetivamente detetadas, que nunca são descartadas (comportamento fail-safe). Configure isto em Endpoints → Editar → Severity Levels.

Exemplo cURL

O soc-waf publica os eventos de ingestão automaticamente após a instalação — não é necessário (nem recomendado) colocar a SOC_API_KEY diretamente na linha de comando. Use sempre o one-liner de instalação gerado no painel, que já inclui o ticket de enrolamento com validade de 24 horas.

Dolutech AI — dolutech.ai