AutoMode

Avec l'offre AutoMode, InfraFence applique seul les correctifs sûrs, jour et nuit, et vous demande votre accord avant toute opération risquée. Il choisit uniquement dans un catalogue fixe d'actions et n'exécute jamais de commandes de son cru.

Avant d'utiliser AutoMode ou d'approuver des corrections : activez l'authentification à deux facteurs. Approuver ou refuser ce que demande AutoMode, et appliquer vous-même une correction risquée, exigent un propriétaire ou un administrateur de l'organisation connecté avec l'authentification à deux facteurs. Sans elle, personne ne peut approuver : les demandes restent dans Approbations et expirent au bout de 24 heures. Tant qu'un propriétaire ou un administrateur n'a pas la 2FA, le score de sécurité de chaque serveur perd aussi 5 points. Activez-la dans Paramètres › Sécurité : cela prend une minute.

Le catalogue#

La restauration d'un fichier en quarantaine fait aussi partie du catalogue, mais seule une personne peut la demander.

Ce qu'il fait seul#

• active le bannissement des scans de ports, le blocage des listes de menaces et les bannissements croissants ;
• lance les scans chaque jour ;
• applique les corrections de durcissement qui ne peuvent bloquer l'accès à personne, dont allow_url_include, display_errors et expose_php de PHP ;
• ferme un port de base de données ou d'administration (MySQL, PostgreSQL, Redis, MongoDB, Elasticsearch, Memcached, l'API Docker, CouchDB, InfluxDB) ouvert sur internet et attaqué dans les dernières 24 heures ;
• bloque le trafic sortant vers les adresses des listes de menaces (correspondances critiques), sauf les destinations auxquelles le serveur se connecte régulièrement ;
• bannit pendant 24 heures une adresse d'une liste de menaces qui s'est connectée à un service du serveur et l'a attaqué ;
• applique des patchs virtuels pour les CVE exploitées (Apache avec ModSecurity) ;
• installe les mises à jour de sécurité dans votre plage de mises à jour, un serveur à la fois.

Un bannissement nécessite au moins 5 événements entrants depuis l'adresse en 24 heures, ou un événement critique. Une correspondance avec une liste de menaces compte pour un des 5, jamais comme un événement critique.

Ce qui demande votre approbation#

• les corrections de durcissement qui touchent aux connexions ou peuvent modifier le comportement d'un site, comme cgi.fix_pathinfo et disable_functions de PHP ;
• les mises à jour de paquets critiques (OpenSSH, la bibliothèque C, systemd, Docker, Kubernetes, bases de données, PAM, sudo, outils de pare-feu, OpenSSL, réseau) ;
• la mise en quarantaine d'un fichier situé hors des dossiers web ;
• la fermeture de tout autre port, par exemple le 3306 de MySQL ou le 5432 de PostgreSQL quand personne ne les a attaqués dans les dernières 24 heures (voir Ports et blocage sortant) ;
• une destination ou un patch virtuel qui ne remplit pas les conditions automatiques ;
• le blocage d'une destination à laquelle le serveur se connecte régulièrement (3 jours ou plus sur les 7 derniers), même si elle figure sur une liste de menaces : il peut s'agir d'un service dont le serveur dépend (voir Destinations habituelles) ;
• la restauration d'un fichier en quarantaine.

La demande apparaît dans Approbations et dans vos canaux d'alerte. Approuvez-la ou Refusez-la dans le tableau de bord ; décider exige l'authentification à deux facteurs, et le lien d'une alerte ne fait qu'ouvrir la demande : un message transféré ne peut donc rien approuver. Les demandes sans réponse expirent au bout de 24 heures.

Décider exige l'authentification à deux facteurs. Seul un propriétaire ou un administrateur connecté avec l'authentification à deux facteurs peut approuver ou refuser : activez-la dans Paramètres › Sécurité avant que la première demande arrive. Appliquer sur une correction du score de sécurité, par un propriétaire ou un administrateur avec la 2FA, est déjà votre décision et s'exécute aussitôt ; sans 2FA, cela devient une demande comme celles d'AutoMode.

Quand un Appliquer ne peut pas s'exécuter, le message dit pourquoi : la modification est déjà en place (rien à faire ; une protection supplémentaire déjà active n'est plus proposée), votre offre, votre rôle, une session qui n'a pas passé l'authentification à deux facteurs, un serveur ou un élément qui n'existe plus, ou le tableau de bord injoignable. Une correction qui devient une demande d'approbation le dit aussi.

Ce qu'il ne fait jamais#

• exécuter une commande de son cru, ou quoi que ce soit hors du catalogue ;
• bannir les adresses en liste blanche, celles de la liste « ne jamais bloquer » d'InfraFence, les adresses de vos serveurs, ou une adresse depuis laquelle quelqu'un s'est connecté en SSH ;
• bloquer un pays d'où proviennent des connexions SSH ;
• fermer un port SSH ou un port utilisé par un serveur web ;
• refaire ce que vous avez annulé ;
• modifier les serveurs en mode surveillance : il note ce qu'il aurait fait.

Limites : au plus 50 actions par serveur et par heure, et 200 bannissements par organisation et par heure.

Vérifié, et annulé en cas de casse#

Après chaque modification, l'agent vérifie que SSH accepte toujours les connexions sur chacun des ports qu'il utilise et que chaque site surveillé répond toujours. Sinon, il annule la modification de lui-même, et Activité affiche Annulée par le serveur avec la raison.

Activité et annulation#

Activité liste tout ce qu'ont fait AutoMode, le mode urgence et les correctifs que vous avez appliqués, du plus récent au plus ancien, avec des filtres par source et par statut. Annuler remet les choses en l'état ; le serveur l'applique en moins d'une minute. Les mises à jour installées ne peuvent pas être annulées.

Paramètres#

Dans Paramètres › Agent, la carte AutoMode :

• Mettre AutoMode en pause et Reprendre AutoMode : ce qui a déjà été appliqué reste en place.
• Plage de mises à jour : De, À et Fuseau horaire. Les mises à jour de sécurité ne sont installées qu'entre ces heures. En dehors de la plage, seul le mode urgence installe des mises à jour, et uniquement pour des vulnérabilités en cours d'exploitation.

Les fonctions d'IA envoient à Anthropic les événements dont elles ont besoin pour produire leur réponse ; voir le modèle de sécurité.