InfraFenceInfraFence

Live Security Operations

Commencer

Quand le tableau de bord est injoignable

Ce que fait l'agent InfraFence quand il ne peut pas joindre le tableau de bord (la protection reste active) et quand le tableau de bord le refuse (protection désactivée après 24 heures, avec un avis à la connexion).

Dernière mise à jour:

L'agent n'a jamais besoin du tableau de bord pour protéger le serveur : la détection, les bannissements et les blocages s'exécutent tous sur le serveur. Deux situations sont toutefois différentes.

Le tableau de bord est injoignable

Les erreurs réseau, les délais dépassés, les échecs DNS et les erreurs serveur (5xx) ne sont jamais traités comme un refus. La protection reste active aussi longtemps qu'il le faut :

  • les bannissements, la liste blanche, les blocages par pays et les ports fermés restent en vigueur ;
  • les nouvelles attaques sont toujours détectées et bannies ;
  • les bannissements expirent à l'heure prévue sur le serveur ;
  • l'état est conservé dans /var/lib/infrafence/protection-state.json, si bien qu'un redémarrage pendant la panne le restaure avant la mise en place du pare-feu ;
  • les événements attendent dans une file (jusqu'à 5 000) et sont envoyés quand le tableau de bord répond à nouveau.

Le tableau de bord refuse l'agent

Le tableau de bord refuse explicitement un agent quand son jeton est révoqué ou inconnu (401), quand l'organisation est suspendue (403 suspended), ou quand le serveur dépasse la limite de l'offre (403 plan_limit), par exemple après une résiliation ou une facture impayée.

  1. Les 24 premières heures. La protection locale reste en vigueur. L'agent attend avant de redemander, de 1 minute en doublant jusqu'à 30 minutes ; pour une organisation suspendue, il redemande toutes les 30 minutes. Le journal de l'agent indique ce qui s'est passé, par exemple the dashboard refused the agent token (401). Local protection stays in force.
  2. Après 24 heures de refus sans une seule réponse positive, l'agent désactive proprement sa protection : ses chaînes, sauts et ipsets disparaissent (bannissements, liste blanche, blocages par pays, listes de menaces, ports fermés, blocages sortants), ses règles ModSecurity, patchs virtuels et blocages par user agent sont retirés du serveur web, la surveillance antimalware en temps réel s'arrête et la détection continue en mode surveillance uniquement. Les règles des autres outils ne sont jamais touchées. SSH est vérifié ensuite.
  3. Avis à la connexion. Là où la distribution utilise /etc/motd.d, l'agent écrit /etc/motd.d/infrafence : InfraFence no longer protects this server: the account is suspended or the subscription ended. Reactivate it at https://infrafence.com/billing.
  4. Retour à la normale. L'agent continue de tourner et interroge le tableau de bord toutes les 30 minutes. À la première synchronisation réussie, la protection est réactivée et l'avis est supprimé.

Le décompte du refus survit aux redémarrages. Les propriétaires reçoivent un e-mail 12 heures avant la désactivation, au moment de la désactivation, puis quand l'accès est rétabli. Ce comportement nécessite l'agent 1.0.32 ou ultérieur.