CENTURION RAPTOR-OS 2.0
Autorité Technique Officielle • Référence Complète

Manuel Système Unifié : centurion(8)

Spécification exhaustive de toutes les commandes, options, sous-commandes et règles noyau de RAPTOR-OS 2.0 (OpenBSD/amd64, kern.securelevel=1).

CENTURION(8) RAPTOR-OS System Manager's Manual CENTURION(8)

NAME

centurion, rap, pf, raptor-httpd, raptor-sql-sentry, raptor_db, rap-edit, rapless — architecture complète de défense active, moteur transactionnel C-CGI confiné et filtrage noyau unifié de RAPTOR-OS 2.0.

SYNOPSIS

rap [-qrfvh] [-n lignes] <status | top | net | netop | heur | hunt | preload | rx | kill | freeze | sentry | man> [options]
raptor [-c | --cli] [-o | --html fichier] [-h | --help]
pfctl [-nf /etc/pf.conf] [-f /etc/pf.conf] [-sr] [-ss] [-si] [-k ip] -t badhosts -T <show | add | delete | flush | test | zero>
httpd [-dnv] [-D macro=valeur] [-f fichier] [-I num] [-P titre]
raptor-sql-sentry
rap-edit [-v | --version] [-h | --help] fichier1 [fichier2 fichier3 fichier4]
rapless [fichier]

DESCRIPTION

CENTURION désigne la configuration souveraine de RAPTOR-OS 2.0 dédiée aux plateformes transactionnelles critiques et à la rétention inviolable de données sensibles. L'architecture fusionne la détection applicative de couche 7 (RAPTOR-HTTPD/2.0, passerelles C statiques confinées sous chroot et pledge(2), sonde raptor-sql-sentry et superviseur rap) avec le pare-feu noyau OpenBSD pf(4) via la table dynamique persistante <badhosts> (/etc/pf.raptor_ban) et le verrouillage matériel kern.securelevel=1.

OPTIONS GLOBALES DE RAP & DU MOTEUR RAPTOR

rap -q, --quiet RAP • GLOBAL
Active le mode silencieux : supprime les bannières décoratives et ne retourne que les résultats essentiels ou codes d'alerte pour l'automatisation en script.
rap -r, --raw RAP • GLOBAL
Désactive le formatage enrichi et les séquences ANSI afin de produire une sortie brute exploitable par awk, grep ou rapless.
rap -f, --force RAP • GLOBAL
Force l'exécution immédiate d'une action critique (bannissement réseau, arrêt de processus ou réarmement de sentinelle) sans demande de confirmation interactive.
rap -v, --verbose RAP • GLOBAL
Affiche les détails techniques complets lors des diagnostics (chemins de sockets, descripteurs de fichiers, scores heuristiques et états noyau).
rap -n <N> (ou -n<N>) RAP • GLOBAL
Limite l'affichage des tableaux d'audit, des journaux forensiques ou des connexions actives aux N premières entrées.
raptor [-c | --cli] [-o | --html <fichier>] [-h | --help] RAPTOR • RAPPORT
Exécute un audit complet du système en mode console (-c / --cli) ou génère un rapport d'audit forensique autonome au format HTML vers le chemin spécifié (-o / --html).

SOUS-COMMANDES COMPLETES DE RAP

rap status RAP • SUPERVISION
Affiche l'état de santé global du bastion : vérification des processus critiques (raptor, raptor_sql_sentry, httpd, slowcgi, php85_fpm, mysqld), contrôle de l'isolation locale 127.0.0.1 et lecture de kern.securelevel.
rap top RAP • PROCESSUS
Inspecte en temps réel l'empreinte mémoire (VmRSS), l'état d'exécution et la légitimité des binaires actifs sur le système.
rap net [-l | --list [c2 | tor | abuse | all]] [-i | --inspect <IPv4>] [<IPv4>] RAP • RENSEIGNEMENT
Corrèle les connexions TCP actives avec les bases locales de renseignement sur les menaces. -l liste les hôtes classés par catégorie (c2, tor, abuse ou all) ; -i <IPv4> (ou passage direct de l'adresse IP) lance une investigation approfondie d'une adresse suspecte.
rap netop [-n <lignes>] RAP • OPÉRATIONS RÉSEAU
Console tactique des sockets TCP : filtre et trie les états (ESTABLISHED, LISTEN, TIME_WAIT, CLOSE_WAIT, LAST_ACK, FIN_WAIT1/2), inspecte les descripteurs de fichiers (socket:[...], PPid), permet de tuer une connexion malveillante (registre de tombstones) et d'enregistrer l'IP dans le registre de bannissement.
rap heur RAP • HEURISTIQUE
Analyse heuristique avancée des processus : détecte les exécutables lancés depuis des répertoires volatils (/tmp/, /var/tmp/, /dev/shm/) ainsi que toute usurpation d'identité d'un démon système exécuté hors de /usr/, /bin/, /sbin/ ou /lib/.
rap hunt [-a | --arm] [--dry-run] RAP • CHASSE
Traque active des anomalies mémoire (segments RWX non autorisés) et des implantations furtives. L'option --dry-run simule les mesures d'endiguement sans modifier l'état du système, tandis que -a / --arm active la neutralisation automatique.
rap preload RAP • INTÉGRITÉ
Inspecte l'environnement des processus en cours d'exécution afin de détecter toute tentative de détournement de bibliothèques partagées via l'injection de variables LD_PRELOAD=.
rap rx [-a | --arm] [--dry-run] RAP • RÉFLEXE
Moteur de réflexes défensifs immédiats (rap_reflex) : surveille les liaisons de sockets suspectes et l'apparition d'arguments ou binaires exécutés depuis /tmp ou /var/tmp pour déclencher un confinement instantané.
rap kill [-f] <PID>  |  rap freeze <PID> RAP • NEUTRALISATION
rap kill interrompt immédiatement un processus hostile identifié par son PID (avec escalade forcée -f). rap freeze suspend l'exécution du processus (SIGSTOP) afin de figer son espace mémoire pour l'analyse forensique.
rap sentry <arm | disarm | status | run | dump | blackbox | clear> [-d | --daemon] [-a | --arm] [--dry-run] [chemins...] RAP • SENTINELLE & BOÎTE NOIRE
Pilote la sentinelle d'intégrité fichiers et la boîte noire mémoire partagée (/raptor_blackbox) :
• arm [chemins...] / disarm [chemins...] : déploie ou retire les fichiers pièges canaris dans les répertoires surveillés (par défaut /etc /var/www /home /root).
• run [-d|--daemon] [-a|--arm] [--dry-run] [chemins...] : lance la boucle de surveillance temps réel (exécutée en arrière-plan par /etc/rc.d/raptor).
• status : affiche l'état d'armement des répertoires protégés.
• dump ou blackbox : restitue les 64 derniers événements critiques enregistrés dans l'anneau mémoire /raptor_blackbox.
• clear : purge les entrées acquittées de la boîte noire.
rap man [numéro | fn | fonct | functions]  |  rap help RAP • DOCUMENTATION
Affiche le manuel embarqué directement dans le terminal, permet l'accès direct par numéro de section ou de fonction (rap man <section> [fonction]) et liste le dictionnaire des fonctions internes via l'argument fn, fonct ou functions.

FUSION PACKET FILTER (PF.CONF, TABLE BADHOSTS & PFCTL)

table <badhosts> persist file "/etc/pf.raptor_ban" PF • TABLE DYNAMIQUE
Table noyau persistante partagée entre pf(4) et RAPTOR-HTTPD/2.0 (raptor_ipc.c). Toute adresse IP ajoutée dans <badhosts> est bloquée avant même d'atteindre la pile applicative via la règle prioritaire : block drop in quick on $ext_if from <badhosts> to any.
Politique par défaut & Normalisation (scrub) PF • DURCISSEMENT
Configuration active dans /etc/pf.conf : politique de rejet silencieux set block-policy drop et block drop all, réassemblage et assainissement des paquets via match in all scrub (no-df random-id max-mss 1440), et suivi d'état strict modulate state sur les flux sortants autorisés.
Protection Overload SSH (22) & HTTP (80) → badhosts PF • AUTO-BANNISSEMENT
Limitation matérielle intégrée au pare-feu :
• SSH (Port 22) : (max-src-conn 10, max-src-conn-rate 3/5, overload <badhosts> flush global) — bannit automatiquement et coupe toutes les sessions dès 3 tentatives en 5 secondes.
• HTTP (Port 80) : (max-src-conn 100, max-src-conn-rate 50/5, overload <badhosts> flush global) — neutralise les rafales et inondations L4/L7 au niveau noyau.
pfctl -t badhosts -T show PFCTL • AUDIT
Liste toutes les adresses IP actuellement en quarantaine dans la mémoire du noyau OpenBSD (alimentées soit par les règles overload de pf.conf, soit par les déclencheurs WAF TRAP_* de RAPTOR-HTTPD).
pfctl -t badhosts -T add <ip> && pfctl -k <ip> PFCTL • BLOCAGE
Ajoute manuellement une adresse IP ou un bloc CIDR dans <badhosts> et purge immédiatement toutes ses connexions établies dans la table d'états du noyau (-k).
pfctl -t badhosts -T delete <ip>  |  pfctl -t badhosts -T flush PFCTL • LEVÉE
delete <ip> retire une adresse spécifique de la table <badhosts> ; flush vide intégralement la table de quarantaine en mémoire noyau.
pfctl -t badhosts -T test <ip>  |  pfctl -t badhosts -T zero PFCTL • DIAGNOSTIC
test <ip> vérifie instantanément si une adresse correspond à une entrée de <badhosts> ; zero remet à zéro les compteurs de paquets et d'octets bloqués par entrée.
pfctl -sr  |  pfctl -ss  |  pfctl -si PFCTL • ÉTAT NOYAU
-sr affiche les règles de filtrage actives ; -ss affiche la table complète des états réseau en cours ; -si affiche les statistiques des compteurs de l'interface externe ($ext_if).
pfctl -nf /etc/pf.conf  |  pfctl -f /etc/pf.conf  |  sysctl kern.securelevel PFCTL • IMMUABILITÉ
-nf valide la syntaxe de /etc/pf.conf sans l'appliquer ; -f charge la configuration (uniquement lorsque kern.securelevel=0). Une fois le système passé à kern.securelevel=1, le jeu de règles pf devient strictement immuable jusqu'au redémarrage physique (seule la table dynamique <badhosts> reste modifiable par le défenseur).

DÉMONS SYSTÈME, PASSERELLES C-CGI & SERVICES RC.D

httpd [-dnv] [-D macro=valeur] [-f fichier] [-I num] [-P titre] RAPTOR-HTTPD/2.0
Serveur HTTP durci intègrant raptor_waf.c, raptor_guard.c, raptor_headers.h et raptor_ipc.c :
• -n : vérifie la validité syntaxique de /etc/httpd.conf.
• -d / -v : exécute au premier plan en mode débogage verbeux.
• -f <fichier> : spécifie un fichier de configuration alternatif.
• -D macro=valeur : définit une macro de configuration.
• Protection native contre l'auto-bannissement de 127.0.0.1 et ::1, et déclenchement automatique du bannissement pfctl sur détection d'une signature TRAP_*.
/usr/local/sbin/raptor-sql-sentry AUDIT SQL • CANARY
Démon de surveillance continue de MariaDB (raptor_db). Contrôle l'intégrité de la table piège raptor_vault_canary protégée par le déclencheur trg_raptor_canary_guard (signal SQL 45000 / RAPTOR_SQL_CANARY_BREACH) et journalise toute tentative d'altération.
/var/www/cgi-bin/raptor_db & raptor_db_post C-CGI • PLEDGE(2)
Passerelles transactionnelles compilées statiquement en C pur (permissions 0550 root:www), exécutées via slowcgi dans le chroot /var/www avec restriction des appels système par pledge(2). raptor_db_post impose strictement la méthode HTTP POST et la présence d'un en-tête CONTENT_LENGTH valide.
rcctl [check | start | stop | restart] raptor mysqld raptor_sql_sentry slowcgi php85_fpm httpd RC.D • 6 DÉMONS
Supervision standard OpenBSD des 6 services constitutifs du bastion :
• raptor (/etc/rc.d/raptor) : exécute /usr/local/bin/rap sentry run --arm /etc /var/www /home /root en arrière-plan.
• raptor_sql_sentry (/etc/rc.d/raptor_sql_sentry) : lance la sonde SQL.
• mysqld, slowcgi, php85_fpm, httpd : pile base de données et serveur web durci.

OUTILS COMPAGNONS (RAP-EDIT & RAPLESS)

rap-edit [-v | --version] [-h | --help] <fichier1> [fichier2] [fichier3] [fichier4] ÉDITEUR FORENSIQUE
Éditeur multi-tampons sécurisé (jusqu'à 4 fichiers simultanés) doté d'audits d'intégrité, d'inspection hexadécimale et de protection anti-corruption :
• Navigation & Tampons : n/next, p/prev, b, tab, bd, close, $ (fin), info/count, help/?.
• Protection & Sauvegarde : ro (lecture seule), rw (lecture/écriture), bak (copie de secours), w! (écriture forcée), q! (quitter sans enregistrer), panic (restauration d'urgence depuis orig/disk).
• Forensique & Assainissement : hex (vue hexadécimale), diff (comparaison différentielle avec le disque), :rch <motif> (recherche), d/dd (suppression), clean, dos2unix/d2u, strip-null/null (purge des octets nuls).
rapless [fichier]  |  commande | rapless PAGINEUR SÉCURISÉ
Afficheur paginé autonome conçu pour parcourir sans risque d'injection de séquences d'échappement les journaux d'audit, les extractions de /raptor_blackbox ou les sorties brutes de rap -r.

EXEMPLES DE PILOTAGE & BANC D'ESSAI RED TEAM

1. Inspection complète après une vague d'assauts sur le réseau local :

raptor-os# rap status
raptor-os# rap sentry blackbox
raptor-os# pfctl -t badhosts -T show
raptor-os# rap net -l all

2. Chasse active et audit heuristique en mode simulation puis armé :

raptor-os# rap heur
raptor-os# rap preload
raptor-os# rap hunt --dry-run
raptor-os# rap rx --arm

FILES

/etc/pf.conf — Règles du pare-feu noyau OpenBSD Packet Filter et seuils overload.

/etc/pf.raptor_ban — Fichier de persistance disque de la table dynamique <badhosts>.

/etc/httpd.conf — Configuration des serveurs virtuels, en-têtes de sécurité et passerelles CGI/FastCGI.

/raptor_blackbox — Anneau mémoire partagé forensique (64 événements haute priorité).

/var/www/cgi-bin/raptor_db, /var/www/cgi-bin/raptor_db_post — Passerelles transactionnelles C confinées par pledge(2).

/root/RAPTOR_CREDENTIALS.txt — Identifiants MariaDB aléatoires générés au premier démarrage physique.

EXIT STATUS

Les utilitaires rap et pfctl retournent 0 en cas d'exécution nominale et une valeur > 0 en cas d'erreur de syntaxe, de privilèges insuffisants ou de violation d'intégrité détectée.

SEE ALSO

pf(4), pf.conf(5), pfctl(8), pledge(2), chroot(2), httpd(8), httpd.conf(5), slowcgi(8), rcctl(8), securelevel(7)

RAPTOR-OS 2.0 (OpenBSD/amd64) Novembre 2026 CENTURION(8)