AutoMode

Con el plan AutoMode, InfraFence aplica por sí solo las correcciones seguras, a cualquier hora, y te pregunta antes de hacer nada arriesgado. Elige solo entre un catálogo fijo de acciones y nunca ejecuta comandos propios.

Antes de usar AutoMode o aprobar correcciones: activa la autenticación en dos pasos. Aprobar o rechazar lo que AutoMode pide, y aplicar tú mismo una corrección arriesgada, requieren un propietario o administrador de la organización con la sesión iniciada con autenticación en dos pasos. Sin ella nadie puede aprobar: las solicitudes esperan en Aprobaciones y caducan a las 24 horas. Mientras un propietario o administrador no tenga 2FA, la puntuación de seguridad de cada servidor pierde además 5 puntos. Actívala en Ajustes › Seguridad: se tarda un minuto.

El catálogo#

Restaurar un archivo en cuarentena también está en el catálogo, pero solo una persona puede pedirlo.

Qué hace por sí solo#

• activa el bloqueo de escaneos de puertos, el bloqueo por listas de amenazas y los bloqueos crecientes;
• ejecuta los escaneos cada día;
• aplica las correcciones de hardening que no pueden dejar a nadie fuera, entre ellas allow_url_include, display_errors y expose_php de PHP;
• cierra un puerto de base de datos o de administración (MySQL, PostgreSQL, Redis, MongoDB, Elasticsearch, Memcached, la API de Docker, CouchDB, InfluxDB) abierto a internet y atacado en las últimas 24 horas;
• bloquea el tráfico de salida hacia direcciones de listas de amenazas (coincidencias críticas), salvo los destinos a los que el servidor se conecta con regularidad;
• bloquea durante 24 horas una dirección de una lista de amenazas que se conectó a un servicio del servidor y lo atacó;
• aplica parches virtuales para CVE explotadas (Apache con ModSecurity);
• instala las actualizaciones de seguridad dentro de tu ventana de actualizaciones, un servidor cada vez.

Un bloqueo necesita 5 o más eventos de entrada desde la dirección en 24 horas, o uno crítico. Una coincidencia con una lista de amenazas cuenta como uno de los 5, nunca como uno crítico.

Qué necesita tu aprobación#

• las correcciones de hardening que afectan a los inicios de sesión o pueden cambiar el comportamiento de un sitio, como cgi.fix_pathinfo y disable_functions de PHP;
• las actualizaciones de paquetes críticos (OpenSSH, la biblioteca C, systemd, Docker, Kubernetes, bases de datos, PAM, sudo, herramientas de firewall, OpenSSL, red);
• poner en cuarentena un archivo fuera de las carpetas web;
• cerrar cualquier otro puerto, por ejemplo el 3306 de MySQL o el 5432 de PostgreSQL cuando nadie los atacó en las últimas 24 horas (consulta Puertos y bloqueo de salida);
• un destino o un parche virtual que no cumple las condiciones automáticas;
• bloquear un destino al que el servidor se conecta con regularidad (en 3 o más de los últimos 7 días), aunque esté en una lista de amenazas: puede ser un servicio del que depende el servidor (consulta Destinos habituales);
• restaurar un archivo en cuarentena.

La solicitud aparece en Aprobaciones y en tus canales de alerta. Decide con Aprobar o Rechazar en el panel; decidir requiere la autenticación en dos pasos, y el enlace de una alerta solo abre la solicitud, así que un mensaje reenviado no puede aprobar nada. Las solicitudes que nadie responde caducan a las 24 horas.

Decidir requiere la autenticación en dos pasos. Solo un propietario o administrador con la sesión iniciada con autenticación en dos pasos puede aprobar o rechazar: actívala en Ajustes › Seguridad antes de que llegue la primera solicitud. Aplicar en una corrección de la puntuación de seguridad, por un propietario o administrador con 2FA, ya es tu decisión y se ejecuta al momento; sin 2FA se convierte en una solicitud como las de AutoMode.

Cuando un Aplicar no puede ejecutarse, el mensaje dice por qué: el cambio ya está aplicado (no hay nada que hacer; una protección extra que ya está activa ya no se propone), tu plan, tu rol, una sesión que no ha completado la autenticación en dos pasos, un servidor o elemento que ya no existe, o el panel que no se puede alcanzar. Una corrección que se convierte en solicitud de aprobación también lo dice.

Qué no hace nunca#

• ejecutar un comando propio, o cualquier cosa fuera del catálogo;
• bloquear direcciones de la lista blanca, direcciones de la lista de InfraFence que nunca se bloquean, las direcciones de tus servidores o una dirección desde la que alguien inició sesión por SSH;
• bloquear un país desde el que llegan inicios de sesión SSH;
• cerrar un puerto SSH o un puerto que usa un servidor web;
• volver a hacer algo que deshiciste;
• cambiar servidores en modo monitor: anota lo que habría hecho.

Límites: como máximo 50 acciones por servidor y hora, y 200 bloqueos por organización y hora.

Comprobado, y deshecho si rompe algo#

Después de cada cambio, el agente comprueba que SSH sigue aceptando conexiones en todos los puertos que usa y que todos los sitios monitorizados siguen respondiendo. Si no es así, revierte el cambio por sí solo, y Actividad muestra Revertida por el servidor con el motivo.

Actividad y deshacer#

Actividad lista todo lo que hicieron AutoMode, el modo de emergencia y las correcciones que aplicaste tú, primero lo más reciente, con filtros por origen y estado. Deshacer deja las cosas como estaban; el servidor lo aplica en menos de un minuto. Las actualizaciones instaladas no se pueden deshacer.

Ajustes#

En Ajustes › Agente, la tarjeta de AutoMode:

• Pausar AutoMode y Reanudar AutoMode: lo que ya se aplicó se mantiene.
• Ventana de actualizaciones: Desde, Hasta y Zona horaria. Las actualizaciones de seguridad se instalan solo entre esas horas. Fuera de la ventana, solo el modo de emergencia instala actualizaciones, y solo para vulnerabilidades que se están explotando.

Las funciones de IA envían a Anthropic los eventos que necesitan para producir su respuesta; consulta el modelo de seguridad.