Konfiguration
Den InfraFence-Agenten konfigurieren: die Dashboard-Einstellungen, die jeden Server in Sekunden erreichen, jeder Schlüssel von /etc/infrafence/config.json und die Umgebungsvariablen des Agenten.
Zuletzt aktualisiert:
Fast alles wird im Dashboard konfiguriert, und Änderungen erreichen die Server in etwa einer Sekunde. Auf dem Server gibt es nur die Registrierungsdatei und ein paar Umgebungsvariablen für ungewöhnliche Setups.
Einstellungen im Dashboard
Einstellungen › Agent gilt für jeden Server der Organisation. Mitglieder können sie lesen; Inhaber und Administratoren ändern sie.
| Einstellung | Standard | Was sie tut |
|---|---|---|
| Überwachungsmodus (nur erkennen, nie blockieren) | aus | Erkennt und meldet alles, sperrt nichts und wendet keine Ländersperren an. |
| Brute-Force-Schwelle (Fehlversuche) | 5 | Fehlgeschlagene SSH-Anmeldungen von einer Adresse vor einer Sperre. Mail, Datenbank und FTP verwenden fest 5 Versuche in 5 Minuten. |
| Brute-Force-Zeitfenster (Sekunden) | 60 | Das Zeitfenster, in dem die SSH-Versuche gezählt werden. |
| Sperrdauer | Steigend | Steigend: 24 Stunden, 7 Tage, 30 Tage, dann dauerhaft, oder immer 1 Stunde, 24 Stunden, 7 Tage, 30 Tage oder dauerhaft. |
| Auf allen Servern sperren | aus | Eine auf einem Server gesperrte Adresse wird auf jedem Server der Organisation gesperrt; die Aufhebung gilt dann überall. |
| Gesperrte Länder (ISO-Codes, durch Kommas getrennt) | keine | Ländersperre. |
| Verfolgung von SSH-Sitzungen aktiv | an | Bewertet jede SSH-Sitzung: Risiko von SSH-Sitzungen. |
| Sigma-Erkennung aktiv, Sigma-Mindeststufe | an, Warnung | Erhöht das Risiko offener SSH-Sitzungen, wenn andere Erkennungen ab dieser Stufe anschlagen. |
Unter Änderungen an deinen Servern:
| Einstellung | Standard | Was sie tut |
|---|---|---|
| Änderungen an der Webserver-Konfiguration erlauben | aus | Erlaubt dem Agenten, ModSecurity-Regeln und das Blockieren nach User-Agent in nginx oder Apache hinzuzufügen. Nie auf Servern, deren Konfiguration ein Hosting-Panel, LiteSpeed oder ein Tool für Konfigurationsmanagement verwaltet. |
| Verkehr von Bedrohungslisten blockieren | aus | Verwirft eingehenden Verkehr aus den gelisteten Netzen. Braucht ipset; nie im Überwachungsmodus. |
| DNS-Verkehr prüfen | an | Ausgehende und DNS-Bedrohungen. |
| Portscans erkennen | an | 15 oder mehr Ports in 10 Minuten von einer Adresse oder 30 oder mehr von einem Netz. |
| Portscanner sperren | aus | Sperrt die Adressen, von denen Portscans kommen. |
| Agent-Updates | Nur benachrichtigen | Oder Automatisch installieren. Siehe Den Agenten aktualisieren. |
Der Rest steht auf anderen Seiten: die Whitelist und das InfraFence-Netzwerk unter Einstellungen › Netzwerk, der Zeitplan der Malware-Scans unter Einstellungen › Malware, die Regeln der Web-Firewall unter Web-Firewall, die Bot-Auswahl unter Bots, die Benachrichtigungen unter Einstellungen › Benachrichtigungen.
/etc/infrafence/config.json
Die Datei wird bei der Registrierung geschrieben, Modus 0600. Normalerweise bearbeitest du sie nie.
| Schlüssel | Typ | Bedeutung |
|---|---|---|
server_url |
string | Die Adresse des Dashboards. Pflicht. |
agent_token |
string | Das eigene Token des Agenten, bei der Registrierung erhalten. Pflicht. |
agent_id |
number | Die ID des Servers im Dashboard. |
reverb_url |
string | Adresse des alten Echtzeitkanals, falls vorhanden. |
reverb_app_key |
string | Sein Schlüssel. |
auth_endpoint |
string | Sein Autorisierungs-Endpunkt. |
panel |
boolean | true öffnet den Socket für Hosting-Panels auf einem Server ohne cPanel oder Plesk. Standardmäßig aus. |
Ohne server_url oder agent_token bricht der Agent mit config is incomplete: server_url and agent_token are required ab.
Umgebungsvariablen
Setze sie mit sudo systemctl edit infrafence-agent:
[Service]
Environment=WEB_LOG_PATH=/srv/www/logs/access.logdanach sudo systemctl restart infrafence-agent.
| Variable | Standard | Wirkung |
|---|---|---|
INFRAFENCE_CONFIG |
/etc/infrafence/config.json |
Die Konfigurationsdatei. |
AUTH_LOG_PATH |
das systemd-Journal, sonst /var/log/auth.log oder /var/log/secure |
Eine nicht standardmäßige SSH-Logdatei, die stattdessen gelesen wird. |
WEB_LOG_PATH |
erkannt | Web-Zugriffslogs, durch Kommas getrennt. Wenn gesetzt, hat sie immer Vorrang vor der Erkennung. |
MAIL_LOG_PATH |
erkannt (/var/log/mail.log, /var/log/maillog…) |
Das Log des Mailservers. |
DB_LOG_PATH |
erkannt | Das Log der Datenbank. |
FTP_LOG_PATH |
erkannt (/var/log/vsftpd.log, /var/log/proftpd/proftpd.log) |
Das Log des FTP-Servers. |
MODSEC_AUDIT_LOG |
erkannt | Das Audit-Log von ModSecurity. |
GEOIP_DB_PATH |
die vom Dashboard geladene Datenbank, /etc/infrafence/geoip-country.mmdb |
Eine eigene Länderdatenbank im MaxMind-Format; ist sie gesetzt, wird nichts heruntergeladen. |
AGENT_IP |
erkannt | Die öffentliche Adresse des Servers, wenn die Erkennung die falsche wählt. |
Web-Zugriffslogs werden für nginx, Apache, LiteSpeed, Hosting-Panels und Docker-Container automatisch gefunden. Wird keines gefunden, meldet das Log [webwatcher] no access logs found — web attack detection disabled (set WEB_LOG_PATH to override).
Befehle
Die eigenen Befehle des Agenten stehen in der Befehlsreferenz.