InfraFenceInfraFence

Live Security Operations

Loslegen

Wenn das Dashboard nicht erreichbar ist

Was der InfraFence-Agent tut, wenn er das Dashboard nicht erreicht (der Schutz bleibt aktiv) und wenn das Dashboard ihn abweist (Schutz nach 24 Stunden abgeschaltet, mit Anmeldehinweis).

Zuletzt aktualisiert:

Der Agent braucht das Dashboard nie, um den Server zu schützen: Erkennung, Sperren und Blockaden laufen alle auf dem Server. Zwei Situationen sind allerdings verschieden.

Das Dashboard ist nicht erreichbar

Netzwerkfehler, Timeouts, DNS-Fehler und Serverfehler (5xx) werden nie als Abweisung behandelt. Der Schutz bleibt aktiv, solange es nötig ist:

  • Sperren, die Whitelist, Ländersperren und geschlossene Ports bleiben in Kraft;
  • neue Angriffe werden weiterhin erkannt und gesperrt;
  • Sperren laufen auf dem Server pünktlich ab;
  • der Zustand wird in /var/lib/infrafence/protection-state.json gespeichert, sodass ein Neustart während des Ausfalls ihn wiederherstellt, bevor die Firewall eingerichtet wird;
  • Ereignisse warten in einer Warteschlange (bis zu 5.000) und werden gesendet, sobald das Dashboard wieder antwortet.

Das Dashboard weist den Agenten ab

Das Dashboard weist einen Agenten ausdrücklich ab, wenn sein Token widerrufen oder unbekannt ist (401), wenn die Organisation gesperrt ist (403 suspended) oder wenn der Server über dem Limit des Tarifs liegt (403 plan_limit), zum Beispiel nach einer Kündigung oder einer unbezahlten Rechnung.

  1. Die ersten 24 Stunden. Der lokale Schutz bleibt in Kraft. Der Agent wartet, bevor er erneut fragt, beginnend bei 1 Minute und jeweils verdoppelt bis 30 Minuten; bei einer gesperrten Organisation fragt er alle 30 Minuten. Das Log des Agenten sagt, was passiert ist, zum Beispiel the dashboard refused the agent token (401). Local protection stays in force.
  2. Nach 24 Stunden Abweisung ohne eine einzige erfolgreiche Antwort schaltet der Agent seinen Schutz sauber ab: Seine Chains, Sprünge und ipsets werden entfernt (Sperren, Whitelist, Ländersperren, Bedrohungslisten, geschlossene Ports, ausgehende Sperren), seine ModSecurity-Regeln, virtuellen Patches und das Blockieren nach User-Agent werden aus dem Webserver genommen, die Echtzeit-Überwachung auf Malware stoppt, und die Erkennung läuft nur noch im Überwachungsmodus weiter. Regeln anderer Tools werden nie angerührt. Danach wird SSH geprüft.
  3. Anmeldehinweis. Wo die Distribution /etc/motd.d verwendet, schreibt der Agent /etc/motd.d/infrafence: InfraFence no longer protects this server: the account is suspended or the subscription ended. Reactivate it at https://infrafence.com/billing.
  4. Wieder an. Der Agent läuft weiter und fragt das Dashboard alle 30 Minuten. Bei der ersten erfolgreichen Synchronisierung wird der Schutz wieder eingeschaltet und der Hinweis entfernt.

Die Uhr der Abweisung übersteht Neustarts. Inhaber erhalten eine E-Mail 12 Stunden vor dem Abschalten, beim Abschalten und wenn der Zugang wiederhergestellt ist. Dieses Verhalten braucht Agent 1.0.32 oder neuer.