InfraFenceInfraFence

Live Security Operations

Loslegen

Sicherheitsmodell

Worauf der InfraFence-Agent auf deinem Server zugreift und warum, was er ans Dashboard sendet, wie Tokens gespeichert und Releases signiert werden, die KI-Funktionen und die BSL 1.1.

Zuletzt aktualisiert:

Wer einen Sicherheitsagenten betreibt, gibt ihm root auf seinen Servern. Diese Seite erklärt genau, was er damit macht.

Warum root

Der Agent verwaltet die Firewall (iptables und ipset), liest die Logs und den Netzwerkzustand des Systems und wendet die Korrekturen an, die du verlangst. Dafür braucht er root. Er läuft als ein einziges statisches Binary ohne Abhängigkeiten, als Dienst, den du jederzeit stoppen kannst.

Was er liest

Was Wofür
Das SSH-Authentifizierungslog (systemd-Journal, /var/log/auth.log oder /var/log/secure) Brute Force, Sitzungsrisiko
Access-Logs des Webservers, Audit-Log von ModSecurity Web-Firewall, Bots
Mail-, Datenbank- und FTP-Logs Brute Force auf diese Dienste
DNS-Pakete (UDP-Port 53, nur lesend) und Verbindungstabellen in /proc Ausgehende und DNS-Bedrohungen, Portscans
Dateien der Websites, auch .env- und Konfigurationsdateien Malware-Scan, Framework-Prüfungen
WordPress-Beiträge, -Optionen und -Benutzer (mit den Zugangsdaten aus wp-config.php) Scan der WordPress-Datenbank
Laufende Prozesse Krypto-Miner, Reverse Shells
Überwachte Systemdateien (Konten, sudoers, SSH-Schlüssel, cron, systemd-Units) Dateiintegrität
Installierte Pakete und Versionen Schwachstellen (CVE)
Der Docker-Socket, nur lesend, wenn Docker vorhanden ist Container-Logs und -Ports

Was er ändert

  • Seine eigenen Firewall-Chains und ipsets. Deine Regeln werden nie verändert, und er fügt nie ein ACCEPT hinzu.
  • Nur wenn du Änderungen an der Webserver-Konfiguration erlauben einschaltest: seine ModSecurity-Regeln und das Blockieren von User-Agents in nginx oder Apache.
  • Nur wenn du, AutoMode oder der Notfallmodus es verlangen: Härtungskorrekturen in eigenen Dateien, geschlossene Ports, ausgehende Sperren, virtuelle Patches, Sicherheitsupdates, Dateien in Quarantäne.

Jede Änderung am Server wird danach geprüft und zurückgenommen, wenn SSH oder eine Website nicht mehr antwortet. Die Deinstallation entfernt alles davon.

Was er sendet

Alles geht per HTTPS an das Dashboard:

  • ein Heartbeat alle 60 Sekunden: Agent-Version, Adresse, Systemmetriken (CPU, Arbeitsspeicher, Festplatte, Last, Netzwerk), lauschende Dienste und Ports, der Webserver und die Domains, die er ausliefert, Firewall-Zähler;
  • Sicherheitsereignisse: Adresse des Angreifers, Art, Zeit und die Details, die man zum Verständnis braucht, bei einem Web-Angriff die eine Logzeile, die ihn ausgelöst hat, bei Malware den Dateipfad und den gefundenen Text;
  • die Liste der installierten Pakete, für die Schwachstellenprüfung;
  • den SHA-256 gescannter PHP-Dateien, um sie unter bekannten Malware-Dateien nachzuschlagen.

Vollständige Logs und Dateien verlassen den Server nie. Keine Telemetrie, nichts wird an Dritte weitergegeben, außer bei den KI-Funktionen unten.

Tokens

  • Das Installationstoken ist einmal verwendbar, eine Stunde gültig und wird nach der Registrierung nicht auf dem Server aufbewahrt.
  • Das eigene Token des Agenten liegt in /etc/infrafence/config.json, nur für root lesbar. Das Dashboard speichert davon nur einen Hash, eine Kopie der Dashboard-Datenbank enthält also keine verwendbaren Agent-Tokens. Auch Cluster-Schlüssel für Kubernetes werden gehasht gespeichert und nur einmal angezeigt.
  • Änderungen aus dem Dashboard kommen über einen Echtzeitkanal, der dem Agenten nur sagt, dass er synchronisieren soll: Der Agent holt seine Konfiguration dann per HTTPS mit seinem eigenen Token ab. Eine Nachricht auf diesem Kanal wird nie als Anweisung behandelt.

Signierte Releases

Jedes Release wird von GitHub Actions gebaut, mit Cosign signiert und mit Build-Provenienz veröffentlicht. Der Agent installiert ein Update nur, wenn sowohl seine Prüfsumme als auch seine Signatur gegen den eingebauten öffentlichen Schlüssel bestehen, und nur aus den offiziellen GitHub-Releases. Siehe Ein Release prüfen.

KI-Funktionen

Die KI-Funktionen laufen im Dashboard, nie im Agenten. Wenn du eine KI-Analyse anforderst, den Assistenten nutzt oder einen Bericht entwerfen lässt, und solange AutoMode oder der Notfallmodus aktiv ist, werden die nötigen Ereignisse an Anthropic gesendet, um die Antwort zu erstellen. Das Dashboard weist jedes Mal vor dem Senden darauf hin. Die Sofortanalyse, in jedem Tarif verfügbar, sendet nirgendwohin etwas.

Wenn das Dashboard nicht erreichbar ist

Der Schutz bleibt aktiv. Siehe Wenn das Dashboard nicht erreichbar ist.

Lizenz

Der Agent ist Source-available unter der Business Source License 1.1 (Lizenzgeber: ComCart S.r.l.). Der Produktiveinsatz ist auf beliebig vielen Servern kostenlos, auch auf den Servern deiner Kunden, solange du damit kein Konkurrenzprodukt baust. Vier Jahre nach jedem Release wird diese Version unter der Apache License 2.0 verfügbar. Du kannst jede Zeile lesen und prüfen unter github.com/infrafence/infrafence-agent. Die Panel-Plugins stehen unter derselben Lizenz.