Configuración
Configura el agente InfraFence - los ajustes del panel que llegan a todos los servidores en segundos, cada clave de /etc/infrafence/config.json y las variables de entorno que lee el agente.
Última actualización:
Casi todo se configura en el panel, y los cambios llegan a los servidores en un segundo aproximadamente. En el servidor solo hay el archivo de registro y algunas variables de entorno para instalaciones poco habituales.
Ajustes en el panel
Ajustes › Agente se aplica a todos los servidores de la organización. Los miembros pueden verlo; los propietarios y administradores lo cambian.
| Ajuste | Predeterminado | Qué hace |
|---|---|---|
| Modo monitor (solo detectar, nunca bloquear) | desactivado | Detecta y notifica todo, no bloquea nada y no aplica bloqueos por país. |
| Umbral de fuerza bruta (intentos fallidos) | 5 | Inicios de sesión SSH fallidos desde una dirección antes de un bloqueo. El correo, las bases de datos y el FTP usan un valor fijo de 5 intentos en 5 minutos. |
| Ventana de fuerza bruta (segundos) | 60 | La ventana en la que se cuentan los intentos SSH. |
| Duración de los bloqueos | Creciente | Creciente: 24 horas, 7 días, 30 días y luego permanente, o siempre 1 hora, 24 horas, 7 días, 30 días, o permanente. |
| Banear en todos los servidores | desactivado | Una dirección bloqueada en un servidor se bloquea en todos los servidores de la organización; desbloquearla la libera en todos. |
| Países bloqueados (códigos ISO separados por comas) | ninguno | Bloqueo por país. |
| Seguimiento de sesiones SSH activado | activado | Puntúa cada sesión SSH: Riesgo de las sesiones SSH. |
| Detección Sigma activada, Nivel mínimo de Sigma | activado, warning | Aumenta el riesgo de las sesiones SSH abiertas cuando otros detectores se activan con ese nivel o superior. |
En Cambios en tus servidores:
| Ajuste | Predeterminado | Qué hace |
|---|---|---|
| Permitir cambios en la configuración del servidor web | desactivado | Permite que el agente añada reglas de ModSecurity y bloqueo por user agent a nginx o Apache. Nunca en servidores cuya configuración gestiona un panel de hosting, LiteSpeed o una herramienta de gestión de la configuración. |
| Bloquear el tráfico de las listas de inteligencia de amenazas | desactivado | Descarta el tráfico de entrada de las redes de las listas. Necesita ipset; nunca en modo monitor. |
| Inspeccionar el tráfico DNS | activado | Amenazas salientes y DNS. |
| Detectar escaneos de puertos | activado | 15 o más puertos en 10 minutos desde una dirección, o 30 o más desde una red. |
| Banear a quien escanea puertos | desactivado | Bloquea las direcciones de las que vienen los escaneos de puertos. |
| Actualizaciones del agente | Solo avisar | O Instalar automáticamente. Consulta Actualizar el agente. |
El resto está en otras páginas: la lista blanca y la red InfraFence en Ajustes › Red, la programación del escaneo de malware en Ajustes › Malware, las reglas del firewall web en Web firewall, las elecciones sobre bots en Bots, las alertas en Ajustes › Alertas.
/etc/infrafence/config.json
Lo escribe el registro, con modo 0600. Normalmente no lo editas nunca.
| Clave | Tipo | Significado |
|---|---|---|
server_url |
string | La dirección del panel. Obligatoria. |
agent_token |
string | El token propio del agente, recibido en el registro. Obligatoria. |
agent_id |
number | El id del servidor en el panel. |
reverb_url |
string | Dirección del antiguo canal en tiempo real, si existe. |
reverb_app_key |
string | Su clave. |
auth_endpoint |
string | Su endpoint de autorización. |
panel |
boolean | true abre el socket del panel de hosting en un servidor sin cPanel ni Plesk. Desactivado por defecto. |
Sin server_url o agent_token, el agente se detiene con config is incomplete: server_url and agent_token are required.
Variables de entorno
Configúralas con sudo systemctl edit infrafence-agent:
[Service]
Environment=WEB_LOG_PATH=/srv/www/logs/access.logy después sudo systemctl restart infrafence-agent.
| Variable | Predeterminado | Efecto |
|---|---|---|
INFRAFENCE_CONFIG |
/etc/infrafence/config.json |
El archivo de configuración. |
AUTH_LOG_PATH |
el journal de systemd, si no /var/log/auth.log o /var/log/secure |
Un archivo de log SSH no estándar que leer en su lugar. |
WEB_LOG_PATH |
detectado | Logs de acceso web, separados por comas. Si está definida, siempre tiene prioridad sobre la detección. |
MAIL_LOG_PATH |
detectado (/var/log/mail.log, /var/log/maillog…) |
El log del servidor de correo. |
DB_LOG_PATH |
detectado | El log de la base de datos. |
FTP_LOG_PATH |
detectado (/var/log/vsftpd.log, /var/log/proftpd/proftpd.log) |
El log del servidor FTP. |
MODSEC_AUDIT_LOG |
detectado | El log de auditoría de ModSecurity. |
GEOIP_DB_PATH |
la base de datos descargada del panel, /etc/infrafence/geoip-country.mmdb |
Tu propia base de datos de países en formato MaxMind; si está definida no se descarga nada. |
AGENT_IP |
detectado | La dirección pública del servidor, cuando la detección elige una equivocada. |
Los logs de acceso web se encuentran automáticamente para nginx, Apache, LiteSpeed, los paneles de hosting y los contenedores Docker. Si no se encuentra ninguno, el log dice [webwatcher] no access logs found — web attack detection disabled (set WEB_LOG_PATH to override).
Comandos
Los comandos propios del agente están en la referencia de comandos.