#!/bin/bash
# ============================================================
#  🛡️ 보안 감시 시스템 - 중앙 설정 파일
#  서버 배포 경로: /etc/security-watchdog/config
# ============================================================

# ── 텔레그램 설정 (보안: 별도 파일에서 로드) ───────
# 토큰/챗ID는 /etc/security-watchdog/secrets 에 저장
# 파일 형식:
#   BOT_TOKEN="your_bot_token"
#   CHAT_ID="your_chat_id"
SECRETS_FILE="/etc/security-watchdog/secrets"
if [ -f "$SECRETS_FILE" ]; then
    source "$SECRETS_FILE"
else
    # secrets 파일 미존재 시 기존 호환용 폴백
    BOT_TOKEN="${BOT_TOKEN:-}"
    CHAT_ID="${CHAT_ID:-}"
fi

# ── 감시 대상 디렉토리 ─────────────────────────────
# nginx 가상호스트의 document root 상위 디렉토리들
WATCH_DIRS=(
    "/home"
    "/home2"
    "/home5"
    "/home6"
)

# ── 격리 디렉토리 ──────────────────────────────────
QUARANTINE_DIR="/home/altablue/quarantine"

# ── 로그 디렉토리 ──────────────────────────────────
LOG_DIR="/home/altablue/logs"

# ── 해시 베이스라인 저장 경로 ──────────────────────
BASELINE_DIR="/home/altablue/baselines"

# ── 동작 모드 ──────────────────────────────────────
# "alert_only"       : 알림만 보냄 (권장: 초기 운용)
# "auto_quarantine"  : 의심 파일 자동 격리 + 알림
MODE="alert_only"

# ── PHP-FPM 헬스체크 ───────────────────────────────
HEALTH_CHECK_URL="https://www.picell.biz/about-us/"
HEALTH_CHECK_TIMEOUT=5
FPM_SERVICE="php8.3-fpm"

# ── 텔레그램 알림 제한 ─────────────────────────────
# 동일 파일에 대해 이 시간(초) 내 중복 알림 방지
ALERT_COOLDOWN=300

# ── 알림 억제 시간대 (선택) ────────────────────────
# WordPress 자동 업데이트 등이 일어나는 시간대
# 형식: "HH:MM-HH:MM" (24시간제)
# SUPPRESS_HOURS="03:00-04:00"

# ── 화이트리스트 패턴 ──────────────────────────────
# 이 패턴에 매칭되는 경로는 감시에서 제외
WHITELIST_PATTERNS=(
    "*/wp-content/cache/*"
    "*/wp-content/uploads/[0-9][0-9][0-9][0-9]/*"
    "*/wp-content/debug.log"
    "*/error_log"
    "*/wp-content/upgrade/*"
    "*/wp-content/wflogs/*"
    "*/wp-content/ai1wm-backups/*"
    "*/wp-content/updraft/*"
    "*/*.log"
    "*/*.tmp"
    "*/*.swp"
    "*/*~"
)

# ── inotifywait 제외 패턴 (정규식) ─────────────────
INOTIFY_EXCLUDE='(cache|upgrade|wflogs|updraft|ai1wm-backups|\.log$|\.tmp$|\.swp$|\.htaccess$)'

# ── 악성코드 스캐너 설정 ──────────────────────────
# 빠른 스캔 시 최근 N분 이내 변경 파일만 검사
QUICK_SCAN_MINUTES=10

# 전체 스캔 시 최대 파일 크기 (바이트) - 10MB 이상은 건너뜀
MAX_SCAN_SIZE=10485760

# 스캔 대상 확장자
SCAN_EXTENSIONS="php,php5,php7,phtml,pht,phps,inc,module"

# ── 무결성 검증 대상 ──────────────────────────────
# WordPress 코어 파일 패턴 (해시 베이스라인 대상)
INTEGRITY_PATTERNS=(
    "wp-admin/*.php"
    "wp-includes/*.php"
    "wp-login.php"
    "wp-config.php"
    "index.php"
    "xmlrpc.php"
    "wp-cron.php"
)

# ══════════════════════════════════════════════════════
#  🆕 워드프레스 오탐 방지 설정
# ══════════════════════════════════════════════════════

# ── 워드프레스 코어 경로 (체크섬 검증 대상) ────────
# 이 경로의 파일은 시그니처 스캔 대신 WP 공식 체크섬으로 검증
# 체크섬 일치 → 스캔 건너뜀 (정상 코어 파일)
# 체크섬 불일치 → CRITICAL 등급으로 시그니처 스캔
WP_CORE_PATHS=(
    "*/wp-admin/*"
    "*/wp-includes/*"
)

# ── 알려진 안전 플러그인 (등급 다운그레이드) ───────
# 이 플러그인 경로에서 탐지 시: CRITICAL → HIGH 다운그레이드
# 완전 무시가 아니라 등급을 낮춰서 일일 요약으로만 알림
WP_TRUSTED_PLUGINS=(
    "*/wp-content/plugins/woocommerce/*"
    "*/wp-content/plugins/jetpack/*"
    "*/wp-content/plugins/wordfence/*"
    "*/wp-content/plugins/elementor/*"
    "*/wp-content/plugins/updraftplus/*"
    "*/wp-content/plugins/all-in-one-wp-migration/*"
    "*/wp-content/plugins/contact-form-7/*"
    "*/wp-content/plugins/akismet/*"
    "*/wp-content/plugins/yoast-seo/*"
    "*/wp-content/plugins/wp-mail-smtp/*"
    "*/wp-content/plugins/really-simple-ssl/*"
)

# ── 워드프레스 업데이트 알림 억제 ─────────────────
# .maintenance 파일 감지 시 이 시간(분) 동안 알림 억제
WP_UPDATE_SUPPRESS_MINUTES=15

# ── 탐지 등급 체계 ────────────────────────────────
# CRITICAL (🔴) : 확실한 악성코드 → 즉시 알림 + 격리 대상
# HIGH     (🟠) : 의심도 높음 → 알림 전송 + 수동 확인
# WARNING  (🟡) : 잠재적 위험 → 일일 요약에만 포함
# INFO     (🔵) : 참고 정보 → 로그만 기록
#
# HIGH 이상만 텔레그램 실시간 알림 전송
REALTIME_ALERT_MIN_LEVEL="HIGH"

# ── WP 체크섬 검증 파일 경로 ──────────────────────
WP_VERIFIED_FILES="${BASELINE_DIR}/wp_verified_files.txt"

# ── 서버 식별 ─────────────────────────────────────
SERVER_NAME="AltaBlue-Main"
SERVER_IP=$(hostname -I 2>/dev/null | awk '{print $1}' || echo "unknown")

# ══════════════════════════════════════════════════════
#  🆕 WP 코어 복원 / 파일 잠금 설정
# ══════════════════════════════════════════════════════

# ── WP 코어 원본 소스 경로 ───────────────────────
# 해당 폴더에 wp-admin/, wp-includes/ 등 WP 코어가 직접 존재땜로 가정
# 참조: /home2/wordpress/wp-admin/, /home2/wordpress/wp-includes/ ...
WP_SOURCE_DIR="/home2/wordpress"

# ── chattr +i 잠금 대상 핵심 파일 ───────────────────
# 사이트 루트 기준 상대 경로 — 그림도 wp-config.php는 제외’
# (로컬 DB 정보 포함되어 사이트마다 다름 — 수동 잠금 권장)
WP_LOCK_FILES=(
    "index.php"
    "wp-login.php"
    "wp-blog-header.php"
    "wp-cron.php"
    "wp-settings.php"
    "wp-config.php"
)

# ── 슬로우 HTTP 어택 대응 설정 ───────────────────
# 느린 응답 임계값 (초) — 이 시간 이상이면 느린 응답로 판단
SLOW_RESPONSE_THRESHOLD="5.0"

# php-fpm 자동 재시작 임계값 (초) — 이 시간 이상이면 즉시 재시작
SLOW_RESTART_THRESHOLD="10.0"

# 슬로우 HTTP 어택 판단: ESTABLISHED 연결 수 임계값
# (ESTABLISHED 수 이 값 이상 + 느린 응답 = 어택으로 판단)
SLOW_ATTACK_CONN_THRESHOLD=300