Integración con Drongo

Drongo es una plataforma centralizada de seguridad e inteligencia de amenazas. La conexión entre Suricatavel y Drongo permite:

Contención automática: Aplicar bloqueos temporales de IP en cortafuegos perimetrales con expiración automática mediante TTL.
Sincronización de feeds de amenazas: Sincronizar automáticamente reglas de detección y feeds de IOCs gestionados en Drongo.
Retransmisión de telemetría: Enviar alertas y eventos de red a Drongo mediante una cola outbox optimizada con deduplicación.
Navegación contextual de firmas: Enlaces directos desde las alertas de Suricatavel a las bases de datos de firmas en Drongo.

Conexión y emparejamiento con Drongo

El enrolamiento (enrollment) establece un canal cifrado y autenticado mediante TLS mutuo (mTLS) entre Suricatavel (que actúa como Autoridad de Certificación raíz) y la instancia o daemon de Drongo.

Puede completar el emparejamiento utilizando cualquiera de los siguientes métodos:

Si ejecuta Drongo en el mismo servidor, contenedor o comparte un sistema de archivos, puede emitir las credenciales mTLS y activar la integración instantáneamente sin llamadas HTTP intermedias ni tokens:

# 1. Generar automáticamente par de claves privada, certificado firmado y CA:
suricatavel drongo enroll --out-dir=/etc/drongo/certs

O bien, si Drongo ya ha generado su propio archivo CSR (Certificate Signing Request):

# 2. Firmar un CSR existente directamente contra la CA local:
suricatavel drongo enroll --csr=/etc/drongo/drongo.csr --cert-out=/etc/drongo/drongo.crt

Opciones de `drongo enroll`

--out-dir: Directorio donde se escribirán automáticamente drongo.crt, drongo.key y ca.crt.
--csr: Ruta a un archivo de Certificate Signing Request (CSR) externo.
--cert-out: Ruta destino para guardar el certificado de cliente mTLS firmado.
--key-out: Ruta destino para la clave privada generada para Drongo.
--ca-out: Ruta destino para la cadena del certificado de la CA raíz.
--validity: Días de validez del certificado emitido (por defecto: 365).
--force: Sobreescribe los archivos existentes si ya fueron generados con anterioridad.

Si Drongo se ejecuta en un servidor remoto o red aislada, utilice el flujo de arranque de confianza Zero-trust mediante un token de emparejamiento de un solo uso (OTP):

Generar el token OTP en Suricatavel vía CLI:
Ventana de terminal
```
suricatavel drongo token
```
El comando devolverá un token de 64 caracteres válido durante 15 minutos.
Generar la clave privada y el CSR en el nodo de Drongo: En la máquina donde se ejecuta Drongo, genere su propio par de claves (la clave privada nunca debe salir del nodo de Drongo):
Ventana de terminal
```
openssl req -new -newkey rsa:4096 -nodes \
  -keyout /etc/drongo/drongo.key \
  -out /etc/drongo/drongo.csr \
  -subj "/CN=drongo.internal/O=Suricatavel"
```

Enviar la solicitud de enrolamiento a Suricatavel:

curl -s -X POST https://<suricatavel-host>/api/v1/drongo/pki/enroll \
  -H "Content-Type: application/json" \
  -d "{
    \"pairing_token\": \"<TOKEN>\",
    \"csr\": \"$(awk '{printf \"%s\\n\", $0}' /etc/drongo/drongo.csr)\"
  }" > /tmp/drongo_creds.json

Guardar el certificado y la cadena CA:

jq -r .certificate /tmp/drongo_creds.json > /etc/drongo/drongo.crt
jq -r .ca_chain /tmp/drongo_creds.json > /etc/drongo/ca.crt

Retransmisión de telemetría

Puede configurar qué información envía Suricatavel a Drongo:

Forward alerts: Envía alertas de seguridad prioritarias enriquecidas con metadatos de amenazas.
Forward events: Envía telemetría de red completa (DNS, HTTP, TLS, flujos).
Búfer outbox: La telemetría se almacena localmente en una tabla outbox y se envía de forma asíncrona mediante HTTP o Kafka para garantizar la entrega durante cortes de red.

Contención automática

Cuando Drongo detecta actividad hostil, emite una orden de contención hacia Suricatavel.

Cómo funciona la contención

Drongo envía una solicitud de bloqueo indicando la IP objetivo y un TTL (Time to live) en segundos.
Suricatavel valida la solicitud aplicando las salvaguardas locales:
- Lista blanca de IPs: Las direcciones IP de infraestructura crítica configuradas en su lista blanca nunca se bloquean.
- Saneamiento de parámetros: Las cadenas se validan estrictamente para proteger la ejecución en los adaptadores de cortafuegos.
Suricatavel aplica el bloqueo temporal en los cortafuegos configurados (pfSense, OPNsense, OpenWrt, MikroTik o Linux nftables).
Al vencer el TTL, la regla de bloqueo se elimina automáticamente.
Si Drongo revoca la contención antes de tiempo, una solicitud de rollback retira la regla inmediatamente.

Todas las acciones de contención quedan auditadas y visibles en Firewalls > History.

Sincronización de feeds de amenazas

Suricatavel comprueba periódicamente si existen feeds actualizados en Drongo. Cuando Drongo publica nuevas firmas o conjuntos de IOCs, Suricatavel los descarga y prepara para su despliegue en la flota de sensores.

También es posible forzar una sincronización inmediata desde Drongo mediante notificaciones push o por línea de comandos.

Comandos operativos CLI

Suricatavel incluye un grupo completo de comandos para supervisar, probar y operar la integración con Drongo sin depender del navegador:

# Mostrar el estado de la integración, credenciales mTLS y métricas del outbox
suricatavel drongo status

# Probar conectividad y autenticación con el destino configurado (HTTP o Kafka)
suricatavel drongo test

# Vaciar registros pendientes acumulados en la cola outbox
suricatavel drongo dispatch --limit=100 --max-attempts=5 --time-budget=50

# Sincronizar inmediatamente el feed de reglas conductuales de Drongo y desplegar a sensores
suricatavel drongo sync-feed

# Generar un token OTP de un solo uso para enrolamiento remoto (15 min de validez)
suricatavel drongo token

# Enrolar directamente el nodo de Drongo y emitir certificados mTLS en local
suricatavel drongo enroll --out-dir=/etc/drongo/certs