Referência de Comandos

A CLI é definida com clap (derive) em cli.rs e despachada para os handlers em cmd.rs. Toda a documentação abaixo foi verificada contra essas definições.

Convenções: placeholders entre crases (<ip>, <path>); durações aceitam o formato 24h, 7d, 30m. Quase todo subcomando carrega o arquivo de config (e muitos exigem Postgres em storage.postgres.url).

Flags globais

Monitor / daemon

sentry run

Inicia o daemon em foreground: fontes → pipeline (regras → heurísticas → IA/LLM) → actions, hot-reload via LISTEN/NOTIFY, tarefas de prune e servidor de métricas Prometheus. Handler em daemon.rs.

sentry run

sentry serve

Dashboard web (SPA sem build-step) + API JSON num processo separado. Exige Postgres. Bind e auth vêm de [server]: host (default 127.0.0.1), port (default 8080), auth.mode = "none"|"password"|"token"|"both" com RBAC (admin muta, viewer só lê). Handler em server.rs.

Endpoints: / (dashboard), /api/health, /api/login, /api/logout, /api/me, /api/events, /api/stats, /api/incidents (+ /{id}/ack e /{id}/resolve), /api/ips/blocked (+ /{ip}/block, /{ip}/unblock, /{ip}/forgive).

sentry serve

Observação ao vivo

sentry tail

Live tail de eventos direto do Postgres. Abre a TUI interativa quando o stdout é um TTY; fora de TTY (ou com --stream) imprime uma linha por evento. Implementação em tui/mod.rs e tui/stream.rs.

sentry tail --only High,Critical --theme mono
sentry tail --stream --json | jq 'select(.level == "critical")'

Incidentes

sentry incidents

Lista e inspeciona incidentes não resolvidos. Handler em cmd.rs. Ack/resolve acontecem pela API HTTP (POST /api/incidents/{id}/ack e /{id}/resolve) ou pelo dashboard.

sentry incidents list
sentry incidents show 6ba7b810-9dad-11d1-80b4-00c04fd430c8

IP

sentry ip

Inspeciona ou block/unblock um IP. O IP é posicional e vem antes do subcomando; sem subcomando equivale a info. Blocks notificam sentry_blocks_changed (daemon e edge aplicam em segundos). Handler em cmd.rs.

sentry ip 203.0.113.7 info
sentry ip 203.0.113.7 block --ttl 24h --note "scanner"
sentry ip 203.0.113.7 forgive

Rotas

sentry routes

Rotas conhecidas (config ∪ banco). Handler em cmd.rs; importadores em routes_import.rs.

sentry routes learn --min-hits 20 --min-ips 3
sentry routes import openapi.yaml --dry-run

Auto-detecção

sentry auto

Detecta frameworks/rotas e gera sentry.auto.toml (rotas conhecidas + packs + regras sugeridas). Detecção na crate sentry-auto; orquestração e sonda HTTP em auto.rs.

• Com path (sentry auto /var/www/app): escaneia a árvore do projeto (walk limitado) e extrai rotas dos perfis nginx, WordPress, Laravel, Next.js e Express.
• Sem path: roda tudo sozinho — lê configs de servidor no disco (/etc/nginx, sites-enabled/conf.d) e sonda o serviço local nas portas 80/443 (robots.txt, sitemap.xml e ~60 paths comuns; uma path sentinela aleatória descarta catch-all/SPA fallback).
• Módulos opt-in: passe --probe e/ou --disk para rodar só um deles; sem flags, ambos rodam.
• Saída: tabela METHODS | PATH + frameworks detectados e o sentry.auto.toml gravado ao lado do sentry.toml resolvido. Se nada for encontrado, o comando não imprime nada (exit 0) e não escreve arquivo.

O arquivo gerado é carregado em cascata automaticamente: em todo load de config, routes.known, rules.pack e rules.custom do sentry.auto.toml são anexados com dedupe — o que você tem no sentry.toml sempre vence (não há --merge; a cascata substitui o flag).

sentry auto                        # tudo: disco + sonda 80/443
sentry auto /var/www/app --dry-run # só vê o que seria detectado
sentry auto --disk                 # sem gerar tráfego: lê configs do disco
sentry auto --profile wordpress    # força o perfil e sonda paths de WP

Rules engine

sentry rules

CRUD de regras custom no banco + visão dos packs de config. Mudanças notificam sentry_rules_changed (hot-reload sem restart). Handler em cmd.rs.

sentry rules add --name "block admin scan" \
  --match 'path starts_with "/admin" AND country = "RU"' --action block
sentry rules test --path /.env --ua "sqlmap/1.0" --ip 203.0.113.7

Reputation feeds

sentry feeds

Feeds de reputação configuradas em [[rules.feeds]] (Tor, Spamhaus, FireHOL, datasets…). Handler em cmd.rs.

sentry feeds check 203.0.113.7

Datasets

sentry datasets

Datasets DB-backed (listas de User-Agent, path ou JA3) que viram regras sintéticas dataset:<nome> e alimentam o prefilter dinâmico. Handlers em cmd.rs e datasets.rs.

sentry datasets import bad-bots.txt --kind user_agent --name bad-bots --action block --dry-run

Trusted IPs

sentry trusted

Presets de IPs confiáveis embutidos para [real_ip] trusted_lists. Handler em cmd.rs.

sentry trusted list

Firewall

sentry firewall

Inspeção dos backends de ban de kernel. Handler em cmd.rs. Linux-only (fora do Linux, reporta indisponível).

sentry firewall status

Verificação de bots

sentry bots

Verificação rDNS de crawlers (F7.10) — PTR nos domínios do engine + forward-resolve de volta ao IP. Usa o resolver do sistema, sem daemon. Handler em cmd.rs e botdns.rs.

sentry bots check 66.249.66.1 --ua "Googlebot/2.1"

Protocolos

sentry protocol

Validação e inspeção dos schemas do DSL de protocolos (F9). Handlers em protocol_cmd.rs.

sentry protocol validate
sentry protocol check schemas/game.protocol.yaml --hex 0001ff

Auth helpers

sentry auth

Gera os hashes usados em [server.auth]. Handlers em auth.rs.

sentry auth hash-password "s3cret!"

Serviço do OS

sentry service

Instala o daemon como serviço do sistema: systemd (/etc/systemd/system/sentry.service), launchd (~/Library/LaunchAgents/com.sentry.daemon.plist) ou Windows Service real (SCM). O serviço executa sentry run. Handler em service.rs.

sentry service install --user sentry --workdir /etc/sentry

Relatórios

sentry report

Relatório agregado do Postgres: eventos por nível e verdict, top IPs e top paths. Handler em cmd.rs.

sentry report --from 7d --export csv
sentry report --unknown-paths

sentry posture

Postura de segurança web (F11): parte 1 é um checklist de config (TLS, redirect HTTP→HTTPS, posture habilitado); parte 2 agrega os advisories de headers observados nas respostas do site protegido (edge inline, shadow), com dica de remediação por linha. Handler em cmd.rs; checks em posture.rs.

sentry posture --from 24h

Export SIEM

sentry export

Exporta eventos crus em CEF, LEEF 2.0 ou JSON para consumo por SIEM. Serializadores em siem.rs.

sentry export --from 7d --format leef --out sentry.leef
sentry export --follow --to udp://siem.internal:514

Config

sentry config

Valida ou imprime a config resolvida. Handler em cmd.rs.

sentry config validate

Modelo de IA

sentry model

Ciclo de vida do modelo ONNX clássico. Handler em cmd.rs.

sentry model export --synthetic --rows 8000 --out seed.csv
python tools/train_model.py --csv seed.csv
sentry model reload

Cloudflare

sentry cloudflare

Integração com o Cloudflare (credenciais via SENTRY_CF_TOKEN, SENTRY_CF_ZONE e opcionalmente SENTRY_CF_ACCOUNT). Handler em cmd.rs.

sentry cloudflare status

Teste isolado

sentry test

Roda o pipeline (regras + heurísticas + scorer) sobre um payload isolado, sem rede nem banco. Handler em cmd.rs.

sentry test "1' OR '1'='1" --path /login --method POST

Benchmarks

sentry bench

Harness de avaliação de providers. Handler em bench_llm.rs.

sentry bench llm --providers jev,openrouter,ollama --n 200

Variáveis de ambiente

Segredos nunca vão no config commitado — via ambiente. Além da tabela, toda chave de config pode ser sobrescrita por env com o prefixo SENTRY_ e aninhamento __ (ex.: SENTRY_STORAGE__POSTGRES__URL); o overlay é implementado em config.rs.