Eventos y actividad

Eventos#

Todo lo que detecta el agente es un evento, con un tipo, una gravedad (info, warning o critical), una hora y la dirección de origen cuando la hay. Los eventos se agrupan en categorías:

Los eventos operativos (inicio y fin de escaneos, actualizaciones, autorreparación del firewall) también se guardan, pero no cuentan como detecciones y nunca generan alertas.

Historial de eventos: 30 días en Starter, 90 días en los planes de pago.

Incidentes y análisis#

Los eventos relacionados se convierten en un incidente. Todos los planes tienen el análisis instantáneo: causa, riesgo y qué hacer, calculado en el panel a partir de los datos de los eventos, sin enviar datos a ningún sitio.

En Pro y superiores, Analizar con IA añade un análisis con IA: causa probable, evaluación del riesgo y acciones recomendadas, con Correcciones seguras que puedes aplicar en un clic. Envía los detalles del incidente a un proveedor de IA externo, y el panel te lo indica cada vez antes de enviarlo.

Problemas abiertos y resueltos#

Algunos eventos describen un problema que puede seguir ahí: un puerto de base de datos abierto a internet (db_exposed), un archivo del sistema modificado, un ajuste de PHP arriesgado, un hallazgo de malware, un parche virtual o una corrección de hardening fallidos. Un problema así queda Abierto hasta que se resuelve. Entonces muestra una insignia verde Resuelto con cómo, quién y cuándo, y deja de contar en los eventos críticos, en Requiere atención y en el recuento de críticos del servidor. Los eventos siguen en el historial.

InfraFence resuelve un problema por sí solo cuando:

Los owners y admins también pueden abrir el incidente, o el evento en la página del servidor, y elegir Marcar como resuelto (lo corregiste tú) o Marcar como esperado (el cambio fue tuyo), con una nota opcional, y Reabrir más tarde. Los miembros ven el estado pero no pueden cambiarlo. Cada cambio queda en el registro de actividad.

El análisis de un incidente resuelto empieza por la resolución, por ejemplo "puerto 3306 cerrado (AutoMode). No hay nada que hacer.", y conserva el análisis inicial en Análisis original. Reabrir devuelve la vista normal.

Una nueva ocurrencia después de la resolución, como el mismo puerto abierto otra vez, vuelve a estar abierta. En cada sincronización el agente del servidor recibe las resoluciones de los últimos 30 días, con "user", "AutoMode" o "agent" como autor y nunca una dirección de email.

En el servidor, con el agente 1.0.34 o posterior, el agente y los plugins de los paneles muestran el mismo estado: infrafence-agent panel events y panel findings indican si cada problema está abierto o resuelto, y el plugin de WHM ya no cuenta los resueltos. El agente también resuelve por su cuenta lo que ha arreglado: un puerto que cerró su firewall (no mientras el puerto siga accesible por IPv6), una corrección aplicada y verificada, un archivo en cuarentena, un paquete actualizado. Guarda estas resoluciones 30 días, también tras un reinicio. Y un puerto de base de datos que el firewall del agente mantiene cerrado ya no se notifica como expuesto cuando el agente se reinicia, aunque la base de datos siga escuchando en todas las direcciones.

Actividad#

Actividad lista todo lo que hicieron AutoMode, el modo de emergencia y las correcciones que aplicaste tú desde el análisis, primero lo más reciente. Filtra por origen (AutoMode, Emergencia, Aplicada por ti), por estado y por sesión de emergencia. La página se actualiza cada 30 segundos.

Deshacer deja las cosas como estaban; el servidor lo aplica en menos de un minuto. Las actualizaciones instaladas no se pueden deshacer.

Quién cambió qué#

El Registro de actividad, en Ajustes, lista quién cambió qué en la organización, primero lo más reciente. La actividad de los agentes no aparece ahí.