AutoMode

Mit dem Tarif AutoMode wendet InfraFence sichere Korrekturen selbst an, rund um die Uhr, und fragt dich vor allem Riskanten. Es wählt nur aus einem festen Aktionskatalog und führt nie eigene Befehle aus.

Bevor du AutoMode nutzt oder Korrekturen freigibst: Schalte die Zwei-Faktor-Authentifizierung ein. Was AutoMode anfragt freizugeben oder abzulehnen und eine riskante Korrektur selbst anzuwenden, erfordert einen Inhaber oder Administrator der Organisation, der mit Zwei-Faktor-Authentifizierung angemeldet ist. Ohne sie kann niemand freigeben: Die Anfragen warten unter Freigaben und laufen nach 24 Stunden ab. Solange ein Inhaber oder Administrator keine 2FA hat, verliert der Sicherheitswert jedes Servers außerdem 5 Punkte. Schalte sie ein unter Einstellungen › Sicherheit: Das dauert eine Minute.

Der Katalog#

Eine Datei aus der Quarantäne wiederherzustellen gehört ebenfalls zum Katalog, aber nur eine Person kann das anfordern.

Was es selbst tut#

• schaltet Sperren bei Portscans, das Blockieren von Bedrohungslisten und steigende Sperren ein;
• führt die Scans jeden Tag aus;
• wendet die Härtungskorrekturen an, die niemanden aussperren können, darunter allow_url_include, display_errors und expose_php von PHP;
• schließt einen Datenbank- oder Admin-Port (MySQL, PostgreSQL, Redis, MongoDB, Elasticsearch, Memcached, die Docker-API, CouchDB, InfluxDB), der aus dem Internet erreichbar ist und in den letzten 24 Stunden angegriffen wurde;
• blockiert ausgehenden Verkehr zu Adressen auf Bedrohungslisten (kritische Treffer), außer zu Zielen, mit denen sich der Server regelmäßig verbindet;
• sperrt für 24 Stunden eine Adresse auf einer Bedrohungsliste, die sich mit einem Dienst des Servers verbunden und ihn angegriffen hat;
• wendet virtuelle Patches für ausgenutzte CVEs an (Apache mit ModSecurity);
• installiert Sicherheitsupdates innerhalb deines Update-Fensters, einen Server nach dem anderen.

Eine Sperre braucht 5 oder mehr eingehende Ereignisse von der Adresse innerhalb von 24 Stunden, oder ein kritisches. Ein Treffer auf einer Bedrohungsliste zählt als eines der 5, nie als kritisches.

Was deine Freigabe braucht#

• Härtungskorrekturen, die Anmeldungen betreffen oder das Verhalten einer Website ändern können, etwa cgi.fix_pathinfo und disable_functions von PHP;
• Updates kritischer Pakete (OpenSSH, die C-Bibliothek, systemd, Docker, Kubernetes, Datenbanken, PAM, sudo, Firewall-Tools, OpenSSL, Netzwerk);
• eine Datei außerhalb der Web-Verzeichnisse in Quarantäne zu verschieben;
• jeden anderen Port zu schließen, zum Beispiel 3306 von MySQL oder 5432 von PostgreSQL, wenn sie in den letzten 24 Stunden niemand angegriffen hat (siehe Ports und ausgehende Sperren);
• ein Ziel oder einen virtuellen Patch, der die Bedingungen für den automatischen Weg nicht erfüllt;
• ein Ziel zu sperren, mit dem sich der Server regelmäßig verbindet (an 3 oder mehr der letzten 7 Tage), auch wenn es auf einer Bedrohungsliste steht: Es kann ein Dienst sein, von dem der Server abhängt (siehe Regelmäßige Ziele);
• eine Datei aus der Quarantäne wiederherzustellen.

Die Anfrage erscheint unter Freigaben und in deinen Benachrichtigungskanälen. Freigeben oder Ablehnen machst du im Dashboard; die Entscheidung erfordert Zwei-Faktor-Authentifizierung, und der Link in einer Benachrichtigung öffnet nur die Anfrage, sodass eine weitergeleitete Nachricht nichts freigeben kann. Anfragen, auf die niemand antwortet, laufen nach 24 Stunden ab.

Die Entscheidung erfordert Zwei-Faktor-Authentifizierung. Nur ein Inhaber oder Administrator, der mit Zwei-Faktor-Authentifizierung angemeldet ist, kann freigeben oder ablehnen: Schalte sie unter Einstellungen › Sicherheit ein, bevor die erste Anfrage kommt. Anwenden bei einer Korrektur des Sicherheitswerts ist, durch einen Inhaber oder Administrator mit 2FA, bereits deine Entscheidung und läuft sofort; ohne 2FA wird daraus eine Anfrage wie die von AutoMode.

Wenn ein Anwenden nicht laufen kann, sagt die Meldung, warum: Die Änderung ist bereits umgesetzt (nichts zu tun; ein zusätzlicher Schutz, der schon aktiv ist, wird nicht mehr vorgeschlagen), dein Tarif, deine Rolle, eine Sitzung ohne abgeschlossene Zwei-Faktor-Authentifizierung, ein Server oder Element, das es nicht mehr gibt, oder ein nicht erreichbares Dashboard. Auch eine Korrektur, aus der eine Freigabeanfrage wird, sagt das.

Was es nie tut#

• einen eigenen Befehl ausführen oder irgendetwas außerhalb des Katalogs;
• Adressen auf der Whitelist sperren, Adressen auf der Nie-sperren-Liste von InfraFence, die Adressen deiner Server oder eine Adresse, von der sich jemand per SSH angemeldet hat;
• ein Land sperren, aus dem SSH-Anmeldungen kommen;
• einen SSH-Port oder einen Port schließen, den ein Webserver nutzt;
• etwas wiederholen, das du rückgängig gemacht hast;
• Server im Überwachungsmodus ändern: Es vermerkt, was es getan hätte.

Grenzen: höchstens 50 Aktionen pro Server und Stunde und 200 Sperren pro Organisation und Stunde.

Geprüft, und zurückgenommen, wenn etwas kaputtgeht#

Nach jeder Änderung prüft der Agent, ob SSH auf jedem genutzten Port weiterhin Verbindungen annimmt und ob jede überwachte Website weiterhin antwortet. Wenn nicht, nimmt er die Änderung selbst zurück, und Aktivität zeigt Vom Server zurückgenommen mit dem Grund.

Aktivität und Rückgängig#

Aktivität listet alles auf, was AutoMode, der Notfallmodus und die von dir angewendeten Korrekturen getan haben, das Neueste zuerst, mit Filtern nach Quelle und Status. Rückgängig stellt den vorherigen Zustand wieder her; der Server setzt das innerhalb einer Minute um. Installierte Updates lassen sich nicht rückgängig machen.

Einstellungen#

Unter Einstellungen › Agent, die Karte AutoMode:

• AutoMode pausieren und AutoMode fortsetzen: Was bereits angewendet wurde, bleibt.
• Update-Fenster: Von, Bis und Zeitzone. Sicherheitsupdates werden nur zwischen diesen Uhrzeiten installiert. Außerhalb des Fensters installiert nur der Notfallmodus Updates, und nur für Schwachstellen, die ausgenutzt werden.

KI-Funktionen senden die Ereignisse, die sie brauchen, an Anthropic, um ihre Antwort zu erzeugen; siehe das Sicherheitsmodell.