InfraFenceInfraFence

Live Security Operations

Loslegen

Deinstallieren

Den InfraFence-Agenten und alles, was er dem Server hinzugefügt hat, entfernen (Firewall-Ketten und Sets, Webserver-Änderungen, Härtungsdateien, den Dienst) und den Server aus dem Dashboard löschen.

Zuletzt aktualisiert:

Den Agenten deinstallieren

bash
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --uninstall

Das stoppt den Dienst und führt dann infrafence-agent uninstall --clean aus, das entfernt, was der Agent dem System hinzugefügt hat:

  • seine Firewall-Sprünge aus INPUT, OUTPUT und DOCKER-USER und seine Ketten INFRAFENCE, INFRAFENCE-RULES, INFRAFENCE-PORTS und INFRAFENCE-EGRESS (samt der IPv6-Kette INFRAFENCE-PORTS);
  • jedes ipset, dessen Name mit infrafence- beginnt;
  • das Blockieren von User-Agents, das er in nginx oder Apache eingefügt hat;
  • seine ModSecurity-Regeln, einschließlich der virtuellen Patches (/etc/modsecurity/infrafence);
  • die Härtungsdateien, die er geschrieben hat: /etc/ssh/sshd_config.d/00-infrafence-hardening.conf und die Dateien zz-infrafence-hardening.conf von nginx und Apache, wobei diese Dienste neu geladen werden.

Danach entfernt der Installer den Dienst, das Binary und seine Sicherung, das Recovery-Skript, die Statusdateien, den Login-Hinweis /etc/motd.d/infrafence, den Panel-Socket und das ganze Verzeichnis /etc/infrafence (Konfiguration, Token und Caches). Am Ende steht InfraFence Agent uninstalled.

Deine eigenen Firewall-Regeln bleiben unberührt: Der Agent hat immer nur in seinen eigenen Ketten gearbeitet.

Was bleibt

  • Dateien in Quarantäne, in /var/lib/infrafence/quarantine/, damit nichts verloren geht. Stelle sie selbst wieder her oder lösche sie und entferne dann /var/lib/infrafence.
  • Die Pakete, die der Installer gegebenenfalls hinzugefügt hat: ipset, iptables, curl, ca-certificates.

Den Server aus dem Dashboard entfernen

Die Deinstallation löscht den Verlauf des Servers nicht. Öffne im Dashboard den Server, wähle Einstellungen › Diesen Server entfernen und gib zur Bestätigung den Hostnamen ein. Dabei werden der Server und alle seine Ereignisse, Sperren und Scans gelöscht. Das dürfen nur Inhaber und Administratoren.

Container

bash
docker rm -f infrafence-agent && docker volume rm infrafence-config
bash
helm uninstall infrafence-agent --namespace infrafence

Die Firewall-Ketten des Agenten liegen in der Firewall des Hosts, nicht im Container. Um sie sofort zu entfernen, führe infrafence-agent uninstall --clean über das Image aus:

bash
docker run --rm --privileged --network host --pid host ghcr.io/infrafence/infrafence-agent:latest uninstall --clean