#!/bin/bash
# ============================================================
#  🚀 보안 감시 시스템 원클릭 배포 스크립트
#  서버 배포 경로: /home/altablue/deploy_security.sh
#
#  이 스크립트를 서버에서 root 권한으로 실행하면
#  모든 보안 감시 시스템이 자동으로 설정됩니다.
#
#  사용법: sudo ./deploy_security.sh
# ============================================================

set -euo pipefail

# ── 색상 정의 ─────────────────────────────────────
RED='\033[0;31m'
GREEN='\033[0;32m'
YELLOW='\033[1;33m'
BLUE='\033[0;34m'
NC='\033[0m' # No Color

# ── 헬퍼 함수 ─────────────────────────────────────
info()    { echo -e "${BLUE}[INFO]${NC} $*"; }
success() { echo -e "${GREEN}[✅]${NC} $*"; }
warn()    { echo -e "${YELLOW}[⚠️]${NC} $*"; }
error()   { echo -e "${RED}[❌]${NC} $*"; }

# ── 루트 권한 확인 ────────────────────────────────
if [ "$(id -u)" -ne 0 ]; then
    error "이 스크립트는 root 권한으로 실행해야 합니다."
    echo "   사용법: sudo $0"
    exit 1
fi

SCRIPT_DIR="$(cd "$(dirname "$0")" && pwd)"
INSTALL_DIR="/home/altablue"
CONFIG_DIR="/etc/security-watchdog"
LOG_DIR="/home/altablue/logs"
QUARANTINE_DIR="/home/altablue/quarantine"
BASELINE_DIR="/home/altablue/baselines"

echo ""
echo "━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━"
echo "  🛡️  보안 감시 시스템 배포"
echo "━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━"
echo ""

# ── Step 1: 필수 패키지 설치 ──────────────────────
info "Step 1/8: 필수 패키지 확인 및 설치..."

PACKAGES_TO_INSTALL=()

if ! command -v inotifywait &>/dev/null; then
    PACKAGES_TO_INSTALL+=("inotify-tools")
fi

if ! command -v bc &>/dev/null; then
    PACKAGES_TO_INSTALL+=("bc")
fi

if ! command -v python3 &>/dev/null; then
    PACKAGES_TO_INSTALL+=("python3")
fi

if [ ${#PACKAGES_TO_INSTALL[@]} -gt 0 ]; then
    info "  설치할 패키지: ${PACKAGES_TO_INSTALL[*]}"
    apt-get update -qq
    apt-get install -y -qq "${PACKAGES_TO_INSTALL[@]}"
    success "  패키지 설치 완료"
else
    success "  모든 필수 패키지가 이미 설치되어 있습니다."
fi

# ── Step 2: 디렉토리 생성 ─────────────────────────
info "Step 2/8: 디렉토리 생성..."

mkdir -p "$CONFIG_DIR"
mkdir -p "$LOG_DIR"
mkdir -p "$QUARANTINE_DIR"
mkdir -p "$BASELINE_DIR"

chmod 700 "$CONFIG_DIR"
chmod 755 "$LOG_DIR"
chmod 700 "$QUARANTINE_DIR"
chmod 700 "$BASELINE_DIR"

success "  디렉토리 생성 완료"
echo "    📁 설정: $CONFIG_DIR"
echo "    📁 로그: $LOG_DIR"
echo "    📁 격리: $QUARANTINE_DIR"
echo "    📁 베이스라인: $BASELINE_DIR"

# ── Step 3: 설정 파일 배포 ────────────────────────
info "Step 3/8: 설정 파일 배포..."

if [ -f "$CONFIG_DIR/config" ]; then
    # 기존 설정 백업
    cp "$CONFIG_DIR/config" "$CONFIG_DIR/config.bak.$(date +%Y%m%d_%H%M%S)"
    warn "  기존 설정 파일 백업 완료"
fi

cp "$SCRIPT_DIR/security-watchdog.conf" "$CONFIG_DIR/config"
chmod 600 "$CONFIG_DIR/config"

success "  설정 파일 배포 완료: $CONFIG_DIR/config"

# ── Step 4: 스크립트 배포 ─────────────────────────
info "Step 4/8: 스크립트 배포..."

SCRIPTS=(
    "telegram_notify.sh"
    "watch_fpm.sh"
    "file_integrity_monitor.sh"
    "malware_scanner.sh"
    "integrity_baseline.sh"
    "wp_core_restore.sh"
    "wp_checksum_verify.sh"
)

# SCRIPT_DIR과 INSTALL_DIR이 같으면 복사 건너뛰기
SAME_DIR=false
if [ "$(realpath "$SCRIPT_DIR")" = "$(realpath "$INSTALL_DIR")" ]; then
    SAME_DIR=true
    info "  스크립트가 이미 설치 경로에 있습니다. 권한만 설정합니다."
fi

for script in "${SCRIPTS[@]}"; do
    if [ -f "$SCRIPT_DIR/$script" ]; then
        if [ "$SAME_DIR" = "false" ]; then
            # 기존 파일 백업
            if [ -f "$INSTALL_DIR/$script" ]; then
                cp "$INSTALL_DIR/$script" "$INSTALL_DIR/${script}.bak.$(date +%Y%m%d_%H%M%S)" 2>/dev/null || true
            fi
            cp "$SCRIPT_DIR/$script" "$INSTALL_DIR/$script"
        fi
        chmod +x "$INSTALL_DIR/$script"
        success "  $script ✓"
    else
        warn "  $script 파일을 찾을 수 없습니다 (건너뜀)"
    fi
done

# ── Step 5: systemd 서비스 등록 ───────────────────
info "Step 5/8: systemd 서비스 등록..."

SERVICE_FILE="/etc/systemd/system/file-integrity-monitor.service"

if [ -f "$SCRIPT_DIR/file-integrity-monitor.service" ]; then
    cp "$SCRIPT_DIR/file-integrity-monitor.service" "$SERVICE_FILE"
    chmod 644 "$SERVICE_FILE"

    systemctl daemon-reload

    # 서비스 활성화 (부팅 시 자동 시작)
    systemctl enable file-integrity-monitor.service

    success "  systemd 서비스 등록 및 활성화 완료"
else
    warn "  service 파일을 찾을 수 없습니다 (건너뜀)"
fi

# ── Step 6: inotify 시스템 설정 ───────────────────
info "Step 6/8: inotify 시스템 설정..."

# 감시 파일 수 제한 증가 (기본 8192 → 524288)
CURRENT_WATCHES=$(cat /proc/sys/fs/inotify/max_user_watches 2>/dev/null || echo 0)
REQUIRED_WATCHES=524288

if [ "$CURRENT_WATCHES" -lt "$REQUIRED_WATCHES" ]; then
    echo "fs.inotify.max_user_watches=$REQUIRED_WATCHES" > /etc/sysctl.d/60-inotify-watches.conf
    sysctl -p /etc/sysctl.d/60-inotify-watches.conf >/dev/null 2>&1
    success "  inotify max_user_watches: $CURRENT_WATCHES → $REQUIRED_WATCHES"
else
    success "  inotify 설정 이미 충분합니다 ($CURRENT_WATCHES)"
fi

# ── Step 7: 크론탭 설정 ──────────────────────────
info "Step 7/8: 크론탭 설정..."

# 기존 보안 관련 크론 제거
crontab -l 2>/dev/null | grep -v "watch_fpm.sh" | grep -v "malware_scanner.sh" | grep -v "integrity_baseline.sh" | grep -v "# SECURITY-WATCHDOG" > /tmp/crontab_clean 2>/dev/null || true

# 새 크론 작업 추가
cat >> /tmp/crontab_clean << 'CRONEOF'

# ══════════════════════════════════════════════════
# SECURITY-WATCHDOG: 보안 감시 시스템 크론 작업
# ══════════════════════════════════════════════════

# PHP-FPM 헬스체크 (1분마다)
* * * * * /home/altablue/watch_fpm.sh >> /home/altablue/logs/cron_watchfpm.log 2>&1

# 악성코드 빠른 스캔 (5분마다, 최근 변경 파일만)
*/5 * * * * /home/altablue/malware_scanner.sh --quick >> /home/altablue/logs/cron_malware.log 2>&1

# 무결성 검증 (1시간마다)
0 * * * * /home/altablue/integrity_baseline.sh --verify >> /home/altablue/logs/cron_integrity.log 2>&1

# 전체 악성코드 스캔 (매일 새벽 3시)
0 3 * * * /home/altablue/malware_scanner.sh --full >> /home/altablue/logs/cron_malware_full.log 2>&1

# 크론 로그 정리 (매주 일요일 새벽 4시)
0 4 * * 0 find /home/altablue/logs -name "cron_*.log" -size +10M -exec truncate -s 1M {} \;

# SECURITY-WATCHDOG-END
CRONEOF

crontab /tmp/crontab_clean
rm -f /tmp/crontab_clean

success "  크론탭 설정 완료"
echo "    ⏰ 헬스체크: 1분마다"
echo "    ⏰ 빠른 스캔: 5분마다"
echo "    ⏰ 무결성 검증: 1시간마다"
echo "    ⏰ 전체 스캔: 매일 03:00"

# ── Step 8: 초기 베이스라인 생성 및 서비스 시작 ───
info "Step 8/8: 초기화 및 서비스 시작..."

# 베이스라인 생성
info "  무결성 베이스라인 생성 중..."
"$INSTALL_DIR/integrity_baseline.sh" --init 2>/dev/null || warn "  베이스라인 생성 실패 (나중에 수동 실행 가능)"

# 실시간 감시 서비스 시작
info "  실시간 파일 감시 서비스 시작 중..."
systemctl start file-integrity-monitor.service 2>/dev/null || warn "  서비스 시작 실패 (나중에 수동 시작 가능)"

# 서비스 상태 확인
if systemctl is-active --quiet file-integrity-monitor 2>/dev/null; then
    success "  실시간 파일 감시 서비스 실행 중"
else
    warn "  서비스가 아직 시작되지 않았습니다."
    echo "    수동 시작: sudo systemctl start file-integrity-monitor"
fi

# ── 텔레그램 테스트 ───────────────────────────────
echo ""
info "텔레그램 알림 테스트 전송 중..."
"$INSTALL_DIR/telegram_notify.sh" "INFO" "🛡️ <b>보안 감시 시스템 설치 완료!</b>

설치된 구성 요소:
━━━━━━━━━━━━━━━━━━━━
✅ 실시간 파일 감시 (inotifywait)
✅ PHP 악성코드 스캐너
✅ 해시 무결성 검증
✅ PHP-FPM 헬스체크
✅ 등급별 텔레그램 알림

⚙️ 현재 모드: alert_only (알림만)
📋 변경하려면: /etc/security-watchdog/config" && success "  텔레그램 테스트 메시지 전송 성공!" || warn "  텔레그램 전송 실패 (봇 토큰/챗 ID 확인 필요)"

# ── 완료 ──────────────────────────────────────────
echo ""
echo "━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━"
echo "  ✅  보안 감시 시스템 배포 완료!"
echo "━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━"
echo ""
echo "  📋 주요 명령어:"
echo "  ─────────────────────────────────────────"
echo "  서비스 상태    : systemctl status file-integrity-monitor"
echo "  서비스 로그    : journalctl -u file-integrity-monitor -f"
echo "  빠른 스캔      : /home/altablue/malware_scanner.sh --quick"
echo "  전체 스캔      : /home/altablue/malware_scanner.sh --full"
echo "  특정 경로 스캔 : /home/altablue/malware_scanner.sh --scan /path"
echo "  베이스라인 갱신: /home/altablue/integrity_baseline.sh --update"
echo "  설정 변경      : nano /etc/security-watchdog/config"
echo ""
echo "  ⚙️  현재 모드: alert_only (알림만)"
echo "  🔄 자동격리 전환: config 파일에서 MODE=\"auto_quarantine\""
echo ""
echo "  📁 로그 파일:"
echo "  ─────────────────────────────────────────"
echo "  파일 감시 : $LOG_DIR/file_integrity.log"
echo "  악성코드  : $LOG_DIR/malware_scanner.log"
echo "  무결성    : $LOG_DIR/integrity.log"
echo "  FPM 감시  : $LOG_DIR/fpm_watchdog.log"
echo "  알림 이력 : $LOG_DIR/alert_history.log"
echo ""