InfraFenceInfraFence

Live Security Operations

Commencer

Configuration

Configurer l'agent InfraFence : les paramètres du tableau de bord qui atteignent chaque serveur en quelques secondes, chaque clé de /etc/infrafence/config.json et les variables d'environnement lues par l'agent.

Dernière mise à jour:

Presque tout se configure dans le tableau de bord, et les modifications atteignent les serveurs en une seconde environ. Sur le serveur, il n'y a que le fichier d'enregistrement et quelques variables d'environnement pour les installations atypiques.

Paramètres dans le tableau de bord

Paramètres › Agent s'applique à tous les serveurs de l'organisation. Les membres peuvent le consulter ; les propriétaires et administrateurs le modifient.

Paramètre Par défaut Ce qu'il fait
Mode surveillance (détecter seulement, ne jamais bloquer) désactivé Détecte et signale tout, ne bannit rien et n'applique aucun blocage par pays.
Seuil de force brute (tentatives échouées) 5 Connexions SSH échouées depuis une même adresse avant un bannissement. La messagerie, les bases de données et le FTP utilisent un seuil fixe de 5 tentatives en 5 minutes.
Fenêtre de force brute (secondes) 60 La fenêtre dans laquelle les tentatives SSH sont comptées.
Durée des bannissements Croissant Croissant : 24 heures, 7 jours, 30 jours, puis définitif, ou toujours 1 heure, 24 heures, 7 jours, 30 jours, ou définitif.
Bannir sur tous les serveurs désactivé Une adresse bannie sur un serveur est bannie sur tous les serveurs de l'organisation ; la débannir la libère partout.
Pays bloqués (codes ISO séparés par des virgules) aucun Blocage par pays.
Suivi des sessions SSH activé activé Attribue un score à chaque session SSH : Risque des sessions SSH.
Détection Sigma activée, Niveau minimal Sigma activé, avertissement Augmente le risque des sessions SSH ouvertes quand d'autres détecteurs se déclenchent à ce niveau ou au-dessus.

Sous Modifications de vos serveurs :

Paramètre Par défaut Ce qu'il fait
Autoriser les modifications de la configuration du serveur web désactivé Permet à l'agent d'ajouter des règles ModSecurity et le blocage par user agent dans nginx ou Apache. Jamais sur les serveurs dont la configuration est gérée par un panneau d'hébergement, LiteSpeed ou un outil de gestion de configuration.
Bloquer le trafic des listes de renseignement sur les menaces désactivé Rejette le trafic entrant des réseaux listés. Nécessite ipset ; jamais en mode surveillance.
Inspecter le trafic DNS activé Menaces sortantes et DNS.
Détecter les scans de ports activé 15 ports ou plus en 10 minutes depuis une même adresse, ou 30 ou plus depuis un même réseau.
Bannir les scanners de ports désactivé Bannit les adresses d'où viennent les scans de ports.
Mises à jour de l'agent Prévenir seulement Ou Installer automatiquement. Voir Mettre à jour l'agent.

Le reste se trouve sur d'autres pages : la liste blanche et le réseau InfraFence dans Paramètres › Réseau, la planification des scans antimalware dans Paramètres › Malware, les règles du pare-feu web sur Pare-feu web, les choix concernant les bots sur Bots, les alertes dans Paramètres › Alertes.

/etc/infrafence/config.json

Écrit lors de l'enregistrement, mode 0600. Normalement, vous ne le modifiez jamais.

Clé Type Signification
server_url string L'adresse du tableau de bord. Obligatoire.
agent_token string Le jeton propre de l'agent, reçu à l'enregistrement. Obligatoire.
agent_id number L'identifiant du serveur dans le tableau de bord.
reverb_url string Adresse de l'ancien canal temps réel, s'il existe.
reverb_app_key string Sa clé.
auth_endpoint string Son point de terminaison d'autorisation.
panel boolean true ouvre le socket des panneaux d'hébergement sur un serveur sans cPanel ni Plesk. Désactivé par défaut.

Sans server_url ou agent_token, l'agent s'arrête avec config is incomplete: server_url and agent_token are required.

Variables d'environnement

Définissez-les avec sudo systemctl edit infrafence-agent :

ini
[Service]
Environment=WEB_LOG_PATH=/srv/www/logs/access.log

puis sudo systemctl restart infrafence-agent.

Variable Par défaut Effet
INFRAFENCE_CONFIG /etc/infrafence/config.json Le fichier de configuration.
AUTH_LOG_PATH le journal systemd, sinon /var/log/auth.log ou /var/log/secure Un fichier de journal SSH non standard à lire à la place.
WEB_LOG_PATH détecté Journaux d'accès web, séparés par des virgules. Quand elle est définie, elle l'emporte toujours sur la détection.
MAIL_LOG_PATH détecté (/var/log/mail.log, /var/log/maillog…) Le journal du serveur de messagerie.
DB_LOG_PATH détecté Le journal de la base de données.
FTP_LOG_PATH détecté (/var/log/vsftpd.log, /var/log/proftpd/proftpd.log) Le journal du serveur FTP.
MODSEC_AUDIT_LOG détecté Le journal d'audit de ModSecurity.
GEOIP_DB_PATH la base téléchargée depuis le tableau de bord, /etc/infrafence/geoip-country.mmdb Votre propre base de pays au format MaxMind ; si elle est définie, rien n'est téléchargé.
AGENT_IP détecté L'adresse publique du serveur, quand la détection choisit la mauvaise.

Les journaux d'accès web sont trouvés automatiquement pour nginx, Apache, LiteSpeed, les panneaux d'hébergement et les conteneurs Docker. Si aucun n'est trouvé, le journal indique [webwatcher] no access logs found — web attack detection disabled (set WEB_LOG_PATH to override).

Commandes

Les commandes propres à l'agent se trouvent dans la référence des commandes.