Die Erkennung läuft deterministisch, rund um die Uhr, zu null Kosten. Ein Modell liest die ernsten Vorfälle in unter zwei Minuten und sagt Ihnen in klarer Sprache, was echt ist, was Rauschen ist und was zu tun ist — und verfasst dann die Reparaturprozedur. Auf Ihrer eigenen Infrastruktur installiert, 72 Stunden auf Ihren Verkehr kalibriert, mit Dokumentation übergeben.
Eine einzelne Maschine oder eine Flotte. Kein SIEM, kein externer Agent, keine Daten, die Ihren Server verlassen.
Das ist keine Funktionsliste zum Abhaken. Bei der Installation entdeckt Sentinel, was auf der Maschine läuft, und schreibt ein Inventar, das Sie bestätigen — danach richten sich Kollektoren, Erkennungsregeln und Schwellenwerte danach. Probieren Sie es unten aus.
Das Panel rechts ist das, was die Installation für die gewählte Kombination erzeugen würde. Bei Ihnen fallen dieselben Entscheidungen anhand dessen, was sie tatsächlich auf der Maschine findet — nicht anhand dessen, was Sie angeklickt haben.
Sie werden nicht mehr von einem Menschen ausgesucht. Sie sind eine Zeile in einer automatisch erzeugten Liste — gescannt, klassifiziert und priorisiert von Programmen, die rund um die Uhr arbeiten, zu Kosten pro Ziel nahe null. Die Größe der Firma nimmt Sie nicht mehr von der Liste.
Kein Mensch liest 20.000 feindliche Ereignisse pro Tag, und keiner schreibt um 3 Uhr nachts auf, warum ausgerechnet dieses zählt. Sentinel setzt ein Modell auf den Urteils-Teil an — reale Schwere, Fehlalarm oder nicht, was zu tun ist, in klarer Sprache — in weniger als zwei Minuten nach Öffnen des Vorfalls.
Die Entscheidung zu blockieren bleibt aber deterministisch. Das ist keine Einschränkung: es ist der Grund, warum Sie das Produkt allein laufen lassen können.
Läuft rund um die Uhr, bei jedem Ereignis. Hängt von nichts außerhalb des Servers ab.
Widerspricht das Modell der Regel, sehen Sie beides. Nichts wird still überschrieben.
Ein Angreifer kann einen HTTP-Pfad anfordern, der Anweisungen enthält. Sentinel behandelt sie als nicht vertrauenswürdige Daten, mit expliziten Trennzeichen, und der Transport, der tatsächlich Dateien vom Server liest, läuft mit --permission-mode plan — strukturell unfähig, etwas zu ändern. Ein Test pflanzt IGNORE PREVIOUS INSTRUCTIONS in ein Access-Log und prüft, dass nichts ausgeführt wurde.
Das ist kein Benachrichtigungskanal. Das ist die Konsole. Sie bekommen den Vorfall mit Aktionsknöpfen, blockieren den Angreifer mit einem Tippen, fragen den Serverstatus ab und starten einen Patch — ohne VPN, ohne SSH, ohne den Laptop aufzuklappen. Alles, was im Web-Panel geht, geht auch im Chat.
Sie warten nicht darauf, ein Dashboard zu öffnen. Der Vorfall wird in dem Moment auf Telegram geschoben, in dem die Regel auslöst — mit Quelle, Land, ASN, Zahl der Versuche und dem KI-Urteil in klarer Sprache, plus den Knöpfen, die die Lage sofort lösen.
Die Befehle laufen auf dem Server und antworten in unter einer Sekunde. Die, die etwas ändern, verlangen eine eigene Bestätigung, und die zerstörerischen eine zweite, die das Ziel noch einmal nennt.
/dashboard/status/incidents
/vulnerabilities/services/health
/events/blocked/patches
/selfcheck
/block/unblock
/resolve/falsepositive
/quiet/panic
Grün liest, Rot ändert. Die Befehle gibt es auf Englisch und auf Rumänisch — die Anzeige folgt der Sprache des Bots.
Der Bot holt die Nachrichten, er empfängt sie nicht: kein offener Port zeigt auf ihn und es gibt keinen öffentlichen Endpunkt zum Fälschen. Fallen nginx, TLS oder das Web-Panel aus, bleibt der Kanal stehen — verfügbar genau in der Minute, in der Sie ihn brauchen.
Telegram ist für die Minute des Vorfalls. Das Panel ist für die übrige Zeit: was Sie angreift, was offen steht, was zuerst behoben gehört — und unter jeder Feststellung der Befehl, der sie löst.
„root ist Ziel #1 — 12.813 Versuche von 938 Adressen“, und darunter grep PermitRootLogin /etc/ssh/sshd_config. Jede Feststellung kommt mit ihrer Handlung, ausgeschrieben. Nichts, was Sie allein aus einer Grafik ableiten müssen.
812 offene heißt nicht 812 zu beheben. Die SSVC-Ampel der CISA ordnet sie nach tatsächlicher Ausnutzung (KEV, EPSS), Vektor und Kritikalität des Assets: fünf brauchen Aufmerksamkeit, zwei werden gerade jetzt ausgenutzt. Grau heißt, dass Daten fehlen — nicht, dass alles in Ordnung ist.
Nicht nur Adressen, sondern Betreiber. Wenn 4.137 Ereignisse von zwei Adressen aus demselben Netz kommen, ist das kein Botnet kompromittierter Rechner, sondern für den Angriff gemietete Infrastruktur — und die nächste Adresse kommt von derselben Stelle. Man sperrt den Bereich, nicht die Adresse.
Vorfälle werden nach der Regelfamilie gebündelt, die sie erzeugt hat. Eine Kampagne bleibt aktiv, solange sie neue Vorfälle erhält; verschwindet sie aus der Liste, ist diese Front zum Erliegen gekommen — sie wird nicht etwa nicht mehr geprüft.
Die auf der Maschine gefundenen Dienste, jeweils mit public oder geschützt markiert, mit Latenz und 24-Stunden-Verfügbarkeit. Die Liste aktualisiert sich selbst: ein heute gestarteter Dienst erscheint heute — auch der, den Sie offen vergessen haben.
Sie sehen jede gesperrte Adresse, den Grund und wann die Sperre abläuft, und Sie können entsperren. Sperren können Sie nicht: ein kompromittiertes Dashboard darf niemanden sperren können. Das Sperren bleibt in Telegram oder in der Regel.
Ein Programm, das Sie bewacht und zugleich das Einzige ist, das Alarm schlagen kann, hat einen Konstruktionsfehler: wer es abschaltet, schaltet auch den Alarm ab. Die Stille danach sieht genauso aus wie eine Nacht, in der niemand etwas versucht hat.
Jede Instanz sendet ein Lebenszeichen an eine Seite, die auf einer anderen Maschine läuft als die überwachten Server. Diese Seite tut nichts außer zuzuhören. Bleibt das Signal aus, wird die Warnung von dort aus über Telegram verschickt — nicht von dem Server, der gerade verstummt ist.
Dieselbe Seite zeigt auch die Selbstdiagnose jeder Instanz, alle fünf Minuten ausgeführt. Sie müssen dem Agenten nicht glauben, dass er sich meldet, wenn er ausfällt. Er ist es nicht, der sich meldet.
Die Lizenz gilt pro Server. Ersteinrichtung und die 72-Stunden-Kalibrierung sind in allen Paketen enthalten — ohne sie ist ein Agent, der Verkehr blockieren kann, ein Risiko und kein Schutz.
Für Teams, die schon jemanden Technischen haben und nur das Werkzeug wollen, richtig konfiguriert.
Für Firmen ohne eigene Sicherheitsperson. Wir schauen hin, Sie entscheiden, was eingespielt wird.
Für mehrere Server oder Kunden. Konfiguration pro Maschine, eine gemeinsame Sicht.
Wir sehen uns an, was exponiert ist, was Sie gerade angreift, welche Schwachstellen offen sind und wie schnell Sie merken würden, dass jemand hereinkommt. In dieser Phase installieren wir nichts.
Tag 1–2 · unverbindlichDie Erkennung schlägt vor, was sie auf der Maschine gefunden hat; Sie bestätigen, was kritisch ist, was nie automatisch angefasst wird und wer immer durchkommen muss — Monitore, Büro, CI.
Tag 3Eine Stunde auf einem sauberen Server. Nichts, was vorher lief, hört auf: die Installation vergleicht mit dem vorherigen Zustand und macht automatisch einen Rollback, wenn sich etwas geändert hat.
Tag 3 · ~1 Stunde72 Stunden, in denen automatisches Blockieren aus ist und Sie nur sehen, was es blockiert hätte. Hier kommen die Fehlalarme heraus: der Uptime-Monitor, die Zertifikatsprüfung, Ihre mobile IP.
Tag 4–6Wir schalten das automatische Blockieren mit den justierten Schwellenwerten ein, übergeben den Zugang zu Panel und Bot sowie die Betriebsdokumentation. Ab hier läuft es allein.
Tag 7Jeder Anbieter sagt Ihnen, was das Produkt tut. Wenn Software Root-Rechte auf Ihrem Server bekommt, zählt eine andere Frage: was darf sie nicht, und wer hält sie auf.
Ihre Admin-Adresse, die privaten Netze und Loopback stehen in einer im Quellcode fest verdrahteten Liste — nicht in der Konfiguration, nicht in der Datenbank. Ein kompromittierte Datenbank kann sie nicht erweitern.
Die Grundregel ist policy accept. Es ist ein Deny-Lister, keine Firewall. Stirbt der Prozess, fällt die Datenbank aus oder ist die Konfiguration falsch, geht der Verkehr durch.
Absichtlich: ein Neustart ist immer ein Ausweg aus einer selbst verursachten Sperre. Dazu eine PANIC-Datei, die in unter 60 Sekunden alles leert, überwacht von einem unabhängigen Prozess.
Das Erzeugen des Plans ist automatisch. Das Einspielen verlangt zwei ausdrückliche Bestätigungen am Telefon, und der Knopf stirbt, wenn der Plan neu erzeugt wird.
Die Oberfläche ist die am stärksten exponierte Komponente, also hat sie keinen Weg zu privilegierten Aktionen. Wird sie kompromittiert, fließen Daten ab; blockieren, entsperren oder einspielen kann sie nichts.
Log-Zeilen und HTTP-Pfade schreibt der Angreifer. Sie gelten als nicht vertrauenswürdige Daten, und ein Test pflanzt IGNORE PREVIOUS INSTRUCTIONS in ein Access-Log und prüft, dass nichts ausgeführt wurde.
Eine runde Zahl und ein volles Diagramm sind leicht gezeigt. Schwerer, und nützlicher, ist zu sagen, wo die Messung aufhört. Die Hinweise unten stehen im Panel, bei Kunden — nicht nur auf dieser Seite.
Gelesen wurden die ersten 5000 Zeilen, der Rest wurde nicht gezählt. Jeder Aggregator hat eine Lesegrenze; der Unterschied ist, ob er sie nennt. „Mindestens so viele“ ist etwas, worauf man sich in eine Richtung stützen kann. „Genau so viele, wahrscheinlich“ nicht.
Ein Zähler, der mitten in seiner Stunde gesendet wird, läse sich als Verkehrseinbruch, den es nie gab. Also fehlt der letzte Balken im Diagramm, und darunter steht, warum. Wir haben genug Leute gesehen, die auf diesem Balken Entscheidungen getroffen haben.
Ein ausgefallener Kollektor und einer, der einen ruhigen Tag durchläuft, liefern dasselbe: null. Die Stille wird über den Nachbarn bewiesen, der denselben Leser benutzt und der, dem Internet ausgesetzt, nie verstummt. Keine zusätzlichen Komponenten.
Zweiundzwanzig Schwachstellen bleiben als nicht bewertet ausgewiesen, statt grün gefärbt zu werden, damit die Summe besser aussieht. Auch die einzige Abweichung vom SSVC-Modell steht dort, mit ihrer Begründung.
Keiner dieser Hinweise hilft beim Verkauf. Alle vier machen die übrigen Zahlen überprüfbar — und wenn Sie einem Programm Root-Rechte auf Ihrem Server geben, ist das die einzige Eigenschaft, die zählt.
Die Zahlen unten stammen aus dem Repository, nicht aus einer Präsentation.
Die Lücken werden genannt, nicht versteckt: Container-Logs werden noch nicht gesammelt, es gibt keinen eigenen Dateiintegritäts-Monitor über auditd hinaus, und die Debian-Installation ist durch Tests abgedeckt, aber noch nicht auf einem echten Debian-Host verifiziert. Wir sagen das vor dem Vertrag, nicht danach.
Dreißig Minuten, kostenlos und unverbindlich. Sie sagen uns, welchen Server Sie haben und was darauf läuft. Wir sagen Ihnen, was exponiert ist, was Sie gerade angreift und ob Sentinel für Sie Sinn ergibt — auch wenn die Antwort „noch nicht“ lautet.
Konzern-Expertise. Schnell geliefert. Ohne Overhead, ohne Jargon, ohne Überraschungen.