Configurazione
Configura l'agente InfraFence: le impostazioni della dashboard che arrivano ai server in pochi secondi, ogni chiave di /etc/infrafence/config.json e le variabili d'ambiente.
Ultimo aggiornamento:
Quasi tutto si configura dalla dashboard, e le modifiche arrivano ai server in circa un secondo. Sul server ci sono solo il file di registrazione e qualche variabile d'ambiente per configurazioni particolari.
Impostazioni nella dashboard
Impostazioni › Agente vale per tutti i server dell'organizzazione. I membri possono leggerla; owner e admin possono modificarla.
| Impostazione | Predefinito | Cosa fa |
|---|---|---|
| Modalità monitor (solo rilevamento, nessun blocco) | disattivata | Rileva e segnala tutto, non banna nulla e non applica blocchi per paese. |
| Soglia brute force (tentativi falliti) | 5 | Login SSH falliti da un indirizzo prima di un ban. Mail, database e FTP usano una soglia fissa di 5 tentativi in 5 minuti. |
| Finestra brute force (secondi) | 60 | L'intervallo in cui vengono contati i tentativi SSH. |
| Durata dei ban | Progressiva | Progressiva: 24 ore, 7 giorni, 30 giorni, poi permanente, oppure sempre 1 ora, 24 ore, 7 giorni, 30 giorni o permanente. |
| Ban su tutti i server | disattivata | Un indirizzo bannato su un server viene bannato su tutti i server dell'organizzazione; sbloccarlo lo sblocca ovunque. |
| Paesi bloccati (codici ISO separati da virgola) | nessuno | Blocco per paese. |
| Tracciamento sessioni SSH attivo | attivo | Assegna un punteggio a ogni sessione SSH: Rischio delle sessioni SSH. |
| Rilevamento Sigma attivo, Livello minimo Sigma | attivo, attenzione | Aumenta il rischio delle sessioni SSH aperte quando altri rilevatori scattano a quel livello o sopra. |
In Modifiche ai tuoi server:
| Impostazione | Predefinito | Cosa fa |
|---|---|---|
| Consenti modifiche alla configurazione del web server | disattivata | Permette all'agente di aggiungere regole ModSecurity e blocco per user agent a nginx o Apache. Mai sui server la cui configurazione è gestita da un pannello di hosting, da LiteSpeed o da uno strumento di gestione della configurazione. |
| Blocca il traffico dalle liste di threat intelligence | disattivata | Scarta il traffico in entrata dalle reti elencate. Richiede ipset; mai in modalità monitor. |
| Ispeziona il traffico DNS | attiva | Minacce in uscita e DNS. |
| Rileva le scansioni di porte | attiva | 15 o più porte in 10 minuti da un indirizzo, oppure 30 o più da una rete. |
| Banna chi scansiona le porte | disattivata | Banna gli indirizzi da cui arrivano le scansioni di porte. |
| Aggiornamenti dell'agente | Solo notifica | Oppure Installa automaticamente. Vedi Aggiornare l'agente. |
Il resto si trova in altre pagine: la whitelist e la rete InfraFence in Impostazioni › Rete, la pianificazione della scansione malware in Impostazioni › Malware, le regole del web firewall in Web firewall, le scelte sui bot in Bot, gli avvisi in Impostazioni › Avvisi.
/etc/infrafence/config.json
Scritto dalla registrazione, con permessi 0600. Di norma non lo modifichi mai.
| Chiave | Tipo | Significato |
|---|---|---|
server_url |
string | L'indirizzo della dashboard. Obbligatoria. |
agent_token |
string | Il token dell'agente, ricevuto alla registrazione. Obbligatoria. |
agent_id |
number | L'id del server nella dashboard. |
reverb_url |
string | Indirizzo del vecchio canale in tempo reale, se presente. |
reverb_app_key |
string | La sua chiave. |
auth_endpoint |
string | Il suo endpoint di autorizzazione. |
panel |
boolean | true apre il socket per i pannelli di hosting su un server senza cPanel o Plesk. Disattivato per impostazione predefinita. |
Senza server_url o agent_token l'agente si ferma con config is incomplete: server_url and agent_token are required.
Variabili d'ambiente
Impostale con sudo systemctl edit infrafence-agent:
[Service]
Environment=WEB_LOG_PATH=/srv/www/logs/access.logpoi sudo systemctl restart infrafence-agent.
| Variabile | Predefinito | Effetto |
|---|---|---|
INFRAFENCE_CONFIG |
/etc/infrafence/config.json |
Il file di configurazione. |
AUTH_LOG_PATH |
il journal di systemd, altrimenti /var/log/auth.log o /var/log/secure |
Un file di log SSH non standard da leggere al loro posto. |
WEB_LOG_PATH |
rilevato | I log di accesso web, separati da virgola. Se impostata, ha sempre la precedenza sul rilevamento. |
MAIL_LOG_PATH |
rilevato (/var/log/mail.log, /var/log/maillog…) |
Il log del server di posta. |
DB_LOG_PATH |
rilevato | Il log del database. |
FTP_LOG_PATH |
rilevato (/var/log/vsftpd.log, /var/log/proftpd/proftpd.log) |
Il log del server FTP. |
MODSEC_AUDIT_LOG |
rilevato | L'audit log di ModSecurity. |
GEOIP_DB_PATH |
il database scaricato dalla dashboard, /etc/infrafence/geoip-country.mmdb |
Un tuo database dei paesi in formato MaxMind; se è impostato non viene scaricato nulla. |
AGENT_IP |
rilevato | L'indirizzo pubblico del server, quando il rilevamento sceglie quello sbagliato. |
I log di accesso web vengono trovati automaticamente per nginx, Apache, LiteSpeed, pannelli di hosting e container Docker. Se non ne trova nessuno, il log riporta [webwatcher] no access logs found — web attack detection disabled (set WEB_LOG_PATH to override).
Comandi
I comandi dell'agente sono nel riferimento dei comandi.