InfraFenceInfraFence

Live Security Operations

Commencer

Installation

Installer l'agent InfraFence sur Linux avec install.sh : prérequis, toutes les options de l'installateur, l'emplacement des fichiers, et comment réinstaller ou déplacer un serveur.

Dernière mise à jour:

L'agent tourne en tant que service sur le serveur : systemd, upstart ou sysvinit. Pour les conteneurs, voir Docker et Kubernetes.

Prérequis

  • Linux sur x86-64 (x86_64) ou ARM64 (aarch64). Toute autre architecture arrête l'installateur avec Unsupported architecture.
  • Un accès root.
  • systemd, upstart ou sysvinit.
  • apt-get, dnf ou yum, pour installer ce qui manque : curl, iptables et ca-certificates. ipset est installé aussi quand la vérification en lecture seule indique qu'on peut le faire sans risque.
  • HTTPS sortant vers infrafence.com, github.com et release-assets.githubusercontent.com : l'agent se télécharge uniquement depuis ses releases GitHub.

La page Distributions prises en charge liste les 15 distributions sur lesquelles chaque version est testée.

Installer

Créez un jeton d'installation dans le tableau de bord (Serveurs › Ajouter un serveur), puis sur le serveur :

bash
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --token <YOUR_TOKEN>

L'installateur ne pose jamais de questions : il fonctionne donc aussi depuis des scripts de provisionnement.

Options de l'installateur

Option Effet
--token <TOKEN> Le jeton d'installation à usage unique du tableau de bord. Nécessaire pour un nouvel enregistrement.
--dry-run Télécharge l'agent, lance la vérification en lecture seule et affiche ce que ferait une exécution réelle. Rien n'est installé ni modifié, et aucun jeton n'est nécessaire.
--no-ipset N'installe jamais ipset. Les bannissements fonctionnent quand même, avec une règle de pare-feu par adresse (jusqu'à 500) ; le blocage par pays et le blocage des listes de renseignement sur les menaces se contentent alors de détecter.
--install-only Installe le binaire et le service sans enregistrement. Le service est activé mais pas démarré ; l'installateur affiche la commande infrafence-agent register à exécuter plus tard.
--force-register Enregistre de nouveau, même si /etc/infrafence/config.json existe, avec un nouveau jeton.
--skip-checksum Installe même si la somme de contrôle de la release ne peut pas être téléchargée. Dangereux : le binaire n'est pas vérifié. Sans cette option, une somme de contrôle absente ou fausse arrête l'installateur et rien n'est installé.
--uninstall Supprime l'agent et ce qu'il a ajouté. Voir Désinstallation.

L'installateur lit aussi ces variables d'environnement :

Variable Par défaut Effet
INFRAFENCE_AGENT_NAME le nom d'hôte court Le nom que le serveur reçoit dans le tableau de bord.
INFRAFENCE_SERVER_URL https://infrafence.com Le tableau de bord auprès duquel l'agent s'enregistre.

Passez-les via sudo, par exemple :

bash
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo INFRAFENCE_AGENT_NAME=web-01 bash -s -- --token <YOUR_TOKEN>

Emplacement des fichiers

Chemin Contenu
/usr/local/bin/infrafence-agent Le binaire de l'agent. La version précédente est conservée sous infrafence-agent.bak après une mise à jour.
/etc/infrafence/config.json L'adresse du tableau de bord et le jeton propre de l'agent (mode 0600, répertoire 0750).
/var/lib/infrafence/ L'état : bannissements, liste blanche, blocages par pays, ports fermés, fichiers en quarantaine.
/etc/systemd/system/infrafence-agent.service L'unité systemd (upstart : /etc/init/infrafence-agent.conf ; sysvinit : /etc/init.d/infrafence-agent).
/usr/local/bin/infrafence-agent-recover.sh S'exécute avant chaque démarrage sous systemd : si le binaire est endommagé, il restaure la sauvegarde ou télécharge de nouveau la version, en vérifiant sa somme de contrôle et sa signature.

L'agent écrit son journal dans le journal systemd (journalctl -u infrafence-agent) et dans syslog avec upstart ou sysvinit.

Le relancer

Relancer l'installateur sans --token sur un serveur déjà enregistré met à jour le binaire et le service et conserve l'enregistrement :

bash
curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash

Il affiche Existing config found at /etc/infrafence/config.json — keeping current registration. Pour connecter le serveur à une autre organisation, ou en tant que nouveau serveur, utilisez --force-register avec un nouveau jeton.

En cas d'échec

L'installateur explique chaque échec dans un encadré avec l'étape suivante : une dépendance manquante, un téléchargement échoué ou un enregistrement échoué (Invalid or expired install token, Server URL is unreachable, Server limit reached for your plan). Voir Dépannage.