Modelo de seguridad
A qué accede el agente de InfraFence en tu servidor y por qué, qué envía al panel, cómo se guardan los tokens, cómo se firman las versiones, las funciones de IA y la licencia BSL 1.1.
Última actualización:
Ejecutar un agente de seguridad significa darle root en tus servidores. Esta página dice exactamente qué hace con ese acceso.
Por qué root
El agente gestiona el firewall (iptables e ipset), lee los registros del sistema y el estado de la red, y aplica las correcciones que pides. Todo eso requiere root. Funciona como un único binario estático sin dependencias, como un servicio que puedes detener en cualquier momento.
Qué lee
| Qué | Por qué |
|---|---|
El registro de autenticación SSH (journal de systemd, /var/log/auth.log o /var/log/secure) |
Fuerza bruta, riesgo de sesiones |
| Registros de acceso del servidor web, registro de auditoría de ModSecurity | Firewall web, bots |
| Registros de correo, bases de datos y FTP | Fuerza bruta contra esos servicios |
Paquetes DNS (puerto UDP 53, solo lectura) y tablas de conexiones en /proc |
Amenazas salientes y DNS, escaneos de puertos |
Archivos de los sitios web, incluidos .env y los archivos de configuración |
Escaneo de malware, comprobaciones de frameworks |
Entradas, opciones y usuarios de WordPress (con las credenciales de wp-config.php) |
Escaneo de la base de datos de WordPress |
| Procesos en ejecución | Mineros de criptomonedas, reverse shells |
| Archivos del sistema vigilados (cuentas, sudoers, claves SSH, cron, unidades de systemd) | Integridad de archivos |
| Paquetes instalados y sus versiones | Vulnerabilidades (CVE) |
| El socket de Docker, en solo lectura, cuando Docker está presente | Registros y puertos de los contenedores |
Qué cambia
- Sus propias cadenas de firewall e ipsets. Tus reglas nunca se modifican y nunca añade un
ACCEPT. - Solo cuando activas Permitir cambios en la configuración del servidor web: sus reglas de ModSecurity y el bloqueo de user agents en nginx o Apache.
- Solo cuando lo pides tú, AutoMode o el modo de emergencia: correcciones de hardening en archivos propios, puertos cerrados, bloqueos salientes, parches virtuales, actualizaciones de seguridad, archivos en cuarentena.
Cada cambio en el servidor se verifica después y se deshace si SSH o un sitio dejan de responder. La desinstalación lo elimina todo.
Qué envía
Todo va al panel por HTTPS:
- un heartbeat cada 60 segundos: versión del agente, dirección, métricas del sistema (CPU, memoria, disco, carga, red), servicios y puertos a la escucha, el servidor web y los dominios que sirve, contadores del firewall;
- eventos de seguridad: dirección del atacante, tipo, hora y los detalles necesarios para entenderlos; en un ataque web, la línea de registro que lo provocó; en el malware, la ruta del archivo y el texto que coincidió;
- la lista de paquetes instalados, para la comprobación de vulnerabilidades;
- el SHA-256 de los archivos PHP escaneados, para buscarlos entre los archivos de malware conocidos.
Los registros y archivos completos nunca salen del servidor. Sin telemetría y sin compartir nada con terceros, salvo en las funciones de IA de más abajo.
Tokens
- El token de instalación es de un solo uso, vale una hora y no se conserva en el servidor después del registro.
- El token propio del agente se guarda en
/etc/infrafence/config.json, legible solo por root. El panel guarda solo un hash, así que una copia de la base de datos del panel no contiene tokens de agente utilizables. Las claves de clúster de Kubernetes también se guardan como hash y se muestran una sola vez. - Los cambios desde el panel llegan por un canal en tiempo real que solo le dice al agente que se sincronice: el agente obtiene entonces su configuración por HTTPS con su propio token. Un mensaje en ese canal nunca se acepta como una instrucción.
Versiones firmadas
Cada versión la compila GitHub Actions, se firma con Cosign y se publica con build provenance. El agente instala una actualización solo si tanto su checksum como su firma se verifican con la clave pública integrada en él, y solo desde las releases oficiales de GitHub. Consulta Verificar una versión.
Funciones de IA
Las funciones de IA se ejecutan en el panel, nunca en el agente. Cuando pides un análisis con IA, usas el asistente o redactas un informe, y mientras AutoMode o el modo de emergencia están activos, los eventos necesarios se envían a Anthropic para generar la respuesta. El panel lo indica siempre antes de que envíes. El análisis instantáneo, disponible en todos los planes, no envía nada a ninguna parte.
Cuando el panel no está disponible
La protección sigue activa. Consulta Cuando el panel no está disponible.
Licencia
El agente es de código fuente disponible bajo la Business Source License 1.1 (licenciante: ComCart S.r.l.). El uso en producción es gratuito en cualquier número de servidores, incluidos los de tus clientes, siempre que no lo uses para crear un producto de la competencia. Cuatro años después de cada versión, esa versión pasa a estar disponible bajo la Apache License 2.0. Puedes leer y auditar cada línea en github.com/infrafence/infrafence-agent. Los plugins para paneles tienen la misma licencia.