Ereignisse und Aktivität

Ereignisse#

Alles, was der Agent erkennt, ist ein Ereignis, mit einem Typ, einem Schweregrad (Info, Warnung oder kritisch), einer Uhrzeit und, falls vorhanden, der Quelladresse. Ereignisse sind in Kategorien gruppiert:

Betriebsereignisse (Start und Ende von Scans, Updates, Selbstreparatur der Firewall) werden ebenfalls aufbewahrt, zählen aber nicht als Erkennungen und lösen nie Benachrichtigungen aus.

Ereignisverlauf: 30 Tage mit Starter, 90 Tage in den bezahlten Tarifen.

Vorfälle und Analyse#

Zusammengehörige Ereignisse werden zu einem Vorfall. Jeder Tarif bekommt die Sofortanalyse: Ursache, Risiko und was zu tun ist, im Dashboard aus den Ereignisdaten berechnet, ohne dass Daten irgendwohin gesendet werden.

Ab Pro ergänzt Mit KI analysieren eine KI-Analyse: wahrscheinliche Ursache, Risikobewertung und empfohlene Maßnahmen, mit Sichere Korrekturen, die du anwenden kannst per Klick. Dabei werden die Details des Vorfalls an einen externen KI-Anbieter gesendet, und das Dashboard sagt dir das jedes Mal, bevor du sendest.

Offene und behobene Probleme#

Manche Ereignisse beschreiben ein Problem, das noch bestehen kann: ein Datenbank-Port, der aus dem Internet erreichbar ist (db_exposed), eine geänderte Systemdatei, eine riskante PHP-Einstellung, ein Malware-Fund, ein fehlgeschlagener virtueller Patch oder eine fehlgeschlagene Härtungskorrektur. So ein Problem bleibt Offen, bis es behoben ist. Dann zeigt es ein grünes Abzeichen Behoben mit wie, von wem und wann, und es zählt nicht mehr bei den kritischen Ereignissen, unter Erfordert Aufmerksamkeit oder bei den kritischen Ereignissen des Servers. Die Ereignisse bleiben im Verlauf.

InfraFence behebt ein Problem selbst, wenn:

Owner und Admins können außerdem den Vorfall oder das Ereignis auf der Serverseite öffnen und Als behoben markieren (du hast es behoben) oder Als erwartet markieren (die Änderung kam von dir) wählen, mit einer optionalen Notiz, und es später Wieder öffnen. Mitglieder sehen den Status, können ihn aber nicht ändern. Jede Änderung wird im Aktivitätsprotokoll erfasst.

Die Analyse eines behobenen Vorfalls beginnt mit der Behebung, zum Beispiel „Port 3306 geschlossen (AutoMode). Nichts zu tun.“, und behält die ursprüngliche Analyse unter Ursprüngliche Analyse. Wieder öffnen stellt die normale Ansicht wieder her.

Ein erneutes Auftreten nach der Behebung, etwa derselbe Port wieder offen, ist wieder offen. Bei jeder Synchronisierung erhält der Agent des Servers die Behebungen der letzten 30 Tage, mit „user“, „AutoMode“ oder „agent“ als Urheber und nie mit einer E-Mail-Adresse.

Auf dem Server zeigen der Agent und die Panel-Plugins ab Agent 1.0.34 denselben Zustand: infrafence-agent panel events und panel findings sagen bei jedem Problem, ob es offen oder behoben ist, und das WHM-Plugin zählt behobene nicht mehr mit. Der Agent behebt außerdem selbst, was er in Ordnung gebracht hat: einen Port, den seine Firewall geschlossen hat (nicht, solange der Port noch über IPv6 erreichbar ist), eine angewendete und geprüfte Korrektur, eine in Quarantäne verschobene Datei, ein aktualisiertes Paket. Diese Behebungen behält er 30 Tage, auch über Neustarts hinweg. Und einen Datenbank-Port, den die Firewall des Agenten geschlossen hält, meldet der Agent nach einem Neustart nicht mehr als offen, auch wenn die Datenbank weiter auf allen Adressen lauscht.

Aktivität#

Aktivität listet alles auf, was AutoMode, der Notfallmodus und die Korrekturen, die du aus der Analyse angewendet hast, getan haben, das Neueste zuerst. Filtere nach Quelle (AutoMode, Notfall, Von dir angewendet), nach Status und nach Notfallsitzung. Die Seite aktualisiert sich alle 30 Sekunden.

Rückgängig stellt den vorherigen Zustand wieder her; der Server setzt das innerhalb einer Minute um. Installierte Updates lassen sich nicht rückgängig machen.

Wer was geändert hat#

Das Aktivitätsprotokoll unter Einstellungen listet auf, wer was in der Organisation geändert hat, das Neueste zuerst. Aktivitäten des Agenten erscheinen dort nicht.