Modello di sicurezza
A cosa accede l'agente InfraFence sul tuo server e perché, cosa invia alla dashboard, come sono custoditi i token, come sono firmate le release, l'AI e la licenza BSL 1.1.
Ultimo aggiornamento:
Usare un agente di sicurezza significa dargli root sui tuoi server. Questa pagina dice esattamente cosa ne fa.
Perché root
L'agente gestisce il firewall (iptables e ipset), legge i log e lo stato di rete del sistema e applica le correzioni che chiedi. Per tutto questo serve root. Gira come un unico binario statico senza dipendenze, come servizio che puoi fermare in qualsiasi momento.
Cosa legge
| Cosa | Perché |
|---|---|
Il log di autenticazione SSH (journal di systemd, /var/log/auth.log o /var/log/secure) |
Brute force, rischio delle sessioni |
| Log di accesso del web server, audit log di ModSecurity | Web firewall, bot |
| Log di posta, database e FTP | Brute force su quei servizi |
Pacchetti DNS (porta UDP 53, sola lettura) e tabelle delle connessioni in /proc |
Minacce in uscita e DNS, scansioni di porte |
File dei siti web, compresi .env e file di configurazione |
Scansione malware, controlli dei framework |
Post, opzioni e utenti di WordPress (con le credenziali in wp-config.php) |
Scansione del database WordPress |
| Processi in esecuzione | Crypto miner, reverse shell |
| File di sistema sorvegliati (account, sudoers, chiavi SSH, cron, unit systemd) | Integrità dei file |
| Pacchetti installati e versioni | Vulnerabilità (CVE) |
| Il socket Docker, in sola lettura, quando Docker è presente | Log e porte dei container |
Cosa modifica
- Le proprie catene del firewall e i propri ipset. Le tue regole non vengono mai modificate e non aggiunge mai un
ACCEPT. - Solo quando attivi Consenti modifiche alla configurazione del web server: le sue regole ModSecurity e il blocco degli user agent in nginx o Apache.
- Solo quando lo chiedete tu, AutoMode o la modalità emergenza: correzioni di hardening in file propri, porte chiuse, blocchi in uscita, patch virtuali, aggiornamenti di sicurezza, file in quarantena.
Ogni modifica al server viene verificata dopo e annullata se SSH o un sito smettono di rispondere. La disinstallazione rimuove tutto.
Cosa invia
Tutto va alla dashboard via HTTPS:
- un heartbeat ogni 60 secondi: versione dell'agente, indirizzo, metriche di sistema (CPU, memoria, disco, carico, rete), servizi e porte in ascolto, il web server e i domini che serve, i contatori del firewall;
- eventi di sicurezza: indirizzo dell'attaccante, tipo, ora e i dettagli necessari per capirli; per un attacco web la singola riga di log che l'ha fatto scattare, per un malware il percorso del file e il testo trovato;
- l'elenco dei pacchetti installati, per il controllo delle vulnerabilità;
- lo SHA-256 dei file PHP scansionati, per cercarli tra i file malware noti.
Log e file completi non lasciano mai il server. Nessuna telemetria, nulla condiviso con terze parti, salvo per le funzioni AI qui sotto.
Token
- Il token di installazione è monouso, valido un'ora, e non viene conservato sul server dopo la registrazione.
- Il token dell'agente è salvato in
/etc/infrafence/config.json, leggibile solo da root. La dashboard ne conserva solo un hash, quindi una copia del database della dashboard non contiene token di agente utilizzabili. Anche le chiavi di cluster per Kubernetes sono salvate come hash e mostrate una sola volta. - Le modifiche dalla dashboard arrivano su un canale in tempo reale che dice all'agente soltanto di sincronizzarsi: l'agente poi scarica la sua configurazione via HTTPS con il proprio token. Un messaggio su quel canale non viene mai considerato un'istruzione.
Release firmate
Ogni release viene compilata da GitHub Actions, firmata con Cosign e pubblicata con la build provenance. L'agente installa un aggiornamento solo se sia il checksum sia la firma risultano validi rispetto alla chiave pubblica incorporata, e solo dalle release ufficiali su GitHub. Vedi Verificare una release.
Funzioni AI
Le funzioni AI girano nella dashboard, mai nell'agente. Quando chiedi un'analisi AI, usi l'assistente o prepari un report, e mentre AutoMode o la modalità emergenza sono attivi, gli eventi necessari vengono inviati ad Anthropic per produrre la risposta. La dashboard lo dice ogni volta prima dell'invio. L'analisi istantanea, disponibile in tutti i piani, non invia nulla a nessuno.
Quando la dashboard non è raggiungibile
La protezione resta attiva. Vedi Quando la dashboard non è raggiungibile.
Licenza
L'agente è source-available sotto la Business Source License 1.1 (licenziante: ComCart S.r.l.). L'uso in produzione è gratuito su qualsiasi numero di server, compresi quelli dei tuoi clienti, purché tu non lo usi per costruire un prodotto concorrente. Quattro anni dopo ogni release, quella versione diventa disponibile sotto la Apache License 2.0. Puoi leggere e verificare ogni riga su github.com/infrafence/infrafence-agent. I plugin per i pannelli hanno la stessa licenza.