Плагин Pocket Agent

Pocket Agent — это инструментарий удалённого доступа по краткоживущим TTL-тикетам. Он позволяет оператору достучаться до целевой машины и выполнить ограниченную задачу с моделью безопасности, спроектированной так, что цели никогда не нужно открывать порт или доверять входящему соединению.

[!WARNING] Pocket Agent — это не мобильное приложение-компаньон. Название означает небольшой удалённый агент доступа по запросу, а не клиент для телефона. Мобильный клиент — это плагин iOS / мобильный мост.

Работает host-native.

Факты

Поле	Значение
Версия	0.1.0
Порт	8814
Среда	host-native

Что это такое

Способ выполнить ограниченное действие на удалённой цели без постоянной инфраструктуры на этой цели. Вместо демона, слушающего входящие команды, модель управляется тикетами и работает только исходящими соединениями:

Оператор выдаёт тикет — краткоживущий (ограниченный TTL) грант на конкретную задачу.
Цель запускает подписанный bootstrap, который проверяет тикет.
Затем цель входит в цикл исходящего опроса (poll), сама обращаясь за работой и отправляя результаты.

Когда TTL тикета истекает, доступ исчезает. Ничего постоянного, что слушало бы порт, не остаётся.

Модель безопасности

[!NOTE] Весь смысл Pocket Agent — в модели безопасности, а не в удобстве. Разберитесь в ней до развёртывания:

Краткоживущие тикеты (TTL). Доступ ограничен по времени; истёкший тикет не даёт ничего.

Подписанный bootstrap. Цель продолжает только после проверки подписанного bootstrap, привязанного к тикету.

Только исходящий цикл опроса. Все соединения инициирует цель. Входящего сокета для атаки нет, канала push тоже нет.

Allowlist. Цели и действия ограничены белым списком.

Аудит. Активность записывается для проверки.

Поскольку нет входящего слушателя и нет push, поверхность атаки на цель минимальна: злоумышленник не может подключиться к цели через Pocket Agent, а доступ автоматически прекращается с истечением тикета.

Как используется

Оператор выдаёт тикет на конкретную задачу; цель забирает его через подписанный bootstrap и цикл исходящего опроса, выполняет разрешённую (allowlist) работу и отчитывается. Каждый шаг ограничен TTL тикета и фиксируется в журнале аудита.

оператор выдаёт TTL-тикет ─▶ цель проверяет подписанный bootstrap ─▶ цель опрашивает исходящим ─▶ allowlist-работа ─▶ аудит

Установка

Установите Pocket Agent в один клик из маркетплейса в админке. Host-native деплойер скачивает плагин, выполняет шаг установки, генерирует изолированный systemd-юнит и ждёт health, прежде чем пометить готовность — см. Установка и обновления. Контейнеры не используются.

Безопасность и ограничения

Только доступ по TTL-тикетам — ограничен по времени, а не постоянная удалённая сессия.
Только исходящие — нет входящего сокета и нет push-канала на цели.
Allowlist + подписанный bootstrap + аудит определяют, кто и что может делать, и записывают это.
Не приложение-компаньон — это удалённый доступ под управлением оператора, а не клиент для телефона.
Host-native — работает под systemd, не в контейнере.