Événements et activité
Comment les événements InfraFence sont organisés : catégories, gravités, analyse des incidents, et la page Activité qui liste chaque action appliquée par AutoMode, le mode urgence et vous, avec annulation.
Dernière mise à jour:
Événements
Tout ce que l'agent détecte est un événement, avec un type, une gravité (info, avertissement ou critique), une heure et l'adresse source quand il y en a une. Les événements sont regroupés en catégories :
| Catégorie | Ce qu'elle couvre |
|---|---|
| Attaques web | Attaques contre votre serveur web : injection SQL, XSS, path traversal, bots malveillants et scanners. |
| Sortant et DNS | Connexions sortantes vers des adresses malveillantes connues, activité DNS suspecte. |
| Malwares | Scans antimalware, fichiers en quarantaine, détections YARA. |
| Intégrité des fichiers | Modifications de fichiers système critiques. |
| Sessions SSH | Connexions SSH, scores de risque des sessions, tentatives de force brute SSH. |
| Surveillance de l'hôte | Scans de ports, afflux de requêtes et processus zombies sur le serveur lui-même. |
| Infrastructure | Événements du pare-feu (CSF), de Kubernetes, des panneaux d'hébergement et des bases de données exposées. |
| Autres | Événements qui n'entrent encore dans aucune autre catégorie. |
Les événements opérationnels (début et fin des scans, mises à jour, réparation automatique du pare-feu) sont conservés aussi, mais ils ne comptent pas comme des détections et ne déclenchent jamais d'alerte.
Historique des événements : 30 jours avec Starter, 90 jours avec les offres payantes.
Incidents et analyse
Les événements liés forment un incident. Toutes les offres ont l'analyse instantanée : cause, risque et marche à suivre, calculés dans le tableau de bord à partir des données des événements, sans rien envoyer nulle part.
À partir de Pro, Analyser avec l'IA ajoute une analyse par IA : cause probable, évaluation du risque et actions recommandées, avec des Correctifs sûrs que vous pouvez appliquer en un clic. Elle envoie les détails de l'incident à un fournisseur d'IA tiers, et le tableau de bord le précise à chaque fois avant l'envoi.
Problèmes ouverts et résolus
Certains événements décrivent un problème qui peut encore exister : un port de base de données ouvert sur internet (db_exposed), un fichier système modifié, un réglage PHP risqué, un malware détecté, un patch virtuel ou un correctif de durcissement en échec. Un tel problème reste Ouvert tant qu'il n'est pas résolu. Il affiche alors un badge vert Résolu avec comment, par qui et quand, et ne compte plus dans les événements critiques, dans À traiter ni dans le nombre de critiques du serveur. Les événements restent dans l'historique.
InfraFence résout un problème tout seul quand :
| Ce qui s'est passé | Ce que cela résout |
|---|---|
| Le pare-feu a fermé le port, à votre demande ou à celle d'AutoMode | le port exposé |
| Un correctif de durcissement ou PHP a été appliqué et conservé | ce contrôle |
| Une analyse de durcissement ultérieure donne le contrôle comme réussi | ce contrôle |
| Le fichier a été mis en quarantaine, ou vous avez ignoré la détection | cette détection de malware |
| Un patch virtuel a été appliqué après un échec | ce patch |
Les owners et les admins peuvent aussi ouvrir l'incident, ou l'événement sur la page du serveur, et choisir Marquer comme résolu (vous l'avez corrigé) ou Marquer comme attendu (la modification venait de vous), avec une note facultative, puis Rouvrir plus tard. Les membres voient l'état mais ne peuvent pas le changer. Chaque changement est enregistré dans le journal d'activité.
L'analyse d'un incident résolu commence par la résolution, par exemple « port 3306 fermé (AutoMode). Rien à faire. », et garde l'analyse initiale sous Analyse d'origine. Rouvrir rétablit la vue normale.
Une nouvelle occurrence après la résolution, par exemple le même port de nouveau ouvert, est de nouveau ouverte. À chaque synchronisation, l'agent du serveur reçoit les résolutions des 30 derniers jours, avec « user », « AutoMode » ou « agent » comme auteur et jamais une adresse e-mail.
Sur le serveur, avec l'agent 1.0.34 ou ultérieur, l'agent et les plugins des panneaux affichent le même état : infrafence-agent panel events et panel findings indiquent si chaque problème est ouvert ou résolu, et le plugin WHM ne compte plus ceux qui sont résolus. L'agent résout aussi de lui-même ce qu'il a corrigé : un port fermé par son pare-feu (pas tant que le port reste joignable en IPv6), une correction appliquée et vérifiée, un fichier mis en quarantaine, un paquet mis à jour. Il garde ces résolutions 30 jours, y compris après un redémarrage. Et un port de base de données que le pare-feu de l'agent maintient fermé n'est plus signalé comme exposé au redémarrage de l'agent, même si la base écoute toujours sur toutes les adresses.
Activité
Activité liste tout ce qu'ont fait AutoMode, le mode urgence et les correctifs que vous avez appliqués depuis l'analyse, du plus récent au plus ancien. Filtrez par source (AutoMode, Urgence, Appliquée par vous), par statut et par session d'urgence. La page se rafraîchit toutes les 30 secondes.
| Statut | Signification |
|---|---|
| En attente | Attend que le serveur la prenne en charge. |
| Appliquée | Effectuée et vérifiée. |
| Échec | N'a pas pu être effectuée ; la raison est affichée. |
| Annulée par le serveur | Effectuée, puis annulée par l'agent parce que SSH ou un site ne répondait plus. |
| Annulée | Annulée par une personne. |
| Ignorée | Non effectuée, avec la raison (par exemple le mode surveillance, ou une adresse de votre liste blanche). |
| En attente d'approbation | Attend un propriétaire ou un administrateur. |
| Expirée | Personne ne l'a approuvée dans les 24 heures. |
Annuler remet les choses en l'état ; le serveur l'applique en moins d'une minute. Les mises à jour installées ne peuvent pas être annulées.
Qui a modifié quoi
Le Journal d'activité dans Paramètres liste qui a modifié quoi dans l'organisation, du plus récent au plus ancien. L'activité de l'agent n'y figure pas.