Quando la dashboard non è raggiungibile
Cosa fa l'agente InfraFence quando non raggiunge la dashboard (la protezione resta attiva) e quando la dashboard lo rifiuta (protezione disattivata dopo 24 ore, con avviso al login).
Ultimo aggiornamento:
All'agente la dashboard non serve mai per proteggere il server: rilevamento, ban e blocchi girano tutti sul server. Ci sono però due situazioni diverse.
La dashboard non è raggiungibile
Errori di rete, timeout, errori DNS ed errori del server (5xx) non vengono mai trattati come un rifiuto. La protezione resta attiva per tutto il tempo necessario:
- ban, whitelist, blocchi per paese e porte chiuse restano in vigore;
- i nuovi attacchi vengono comunque rilevati e bannati;
- i ban scadono puntualmente sul server;
- lo stato è salvato in
/var/lib/infrafence/protection-state.json, quindi un riavvio durante l'interruzione lo ripristina prima che il firewall venga configurato; - gli eventi restano in coda (fino a 5.000) e vengono inviati quando la dashboard torna a rispondere.
La dashboard rifiuta l'agente
La dashboard rifiuta esplicitamente un agente quando il suo token è revocato o sconosciuto (401), quando l'organizzazione è sospesa (403 suspended) o quando il server supera il limite del piano (403 plan_limit), per esempio dopo una disdetta o una fattura non pagata.
- Prime 24 ore. La protezione locale resta in vigore. L'agente aspetta prima di riprovare, partendo da 1 minuto e raddoppiando fino a 30 minuti; con un'organizzazione sospesa riprova ogni 30 minuti. Il log dell'agente dice cosa è successo, per esempio
the dashboard refused the agent token (401). Local protection stays in force. - Dopo 24 ore di rifiuto senza nemmeno una risposta positiva, l'agente disattiva la protezione in modo pulito: vengono rimossi catene, jump e ipset (ban, whitelist, blocchi per paese, liste di minacce, porte chiuse, blocchi in uscita), le sue regole ModSecurity, le patch virtuali e il blocco per user agent vengono tolti dal web server, il controllo malware in tempo reale si ferma e il rilevamento prosegue solo in modalità monitor. Le regole degli altri strumenti non vengono mai toccate. Subito dopo viene verificato SSH.
- Avviso al login. Dove la distribuzione usa
/etc/motd.d, l'agente scrive/etc/motd.d/infrafence:InfraFence no longer protects this server: the account is suspended or the subscription ended. Reactivate it at https://infrafence.com/billing. - Riattivazione. L'agente continua a girare e interroga la dashboard ogni 30 minuti. Alla prima sincronizzazione riuscita la protezione viene riattivata e l'avviso rimosso.
Il conteggio del rifiuto sopravvive ai riavvii. Gli owner ricevono un'email 12 ore prima della disattivazione, al momento della disattivazione e quando l'accesso viene ripristinato. Questo comportamento richiede l'agente 1.0.32 o successivo.