Tutto ciò che InfraFence rileva e blocca
Ogni livello di rilevamento e risposta, in ogni piano, e cosa aggiungono Pro e AutoMode. Apri i dettagli tecnici per gli schemi, i file e i controlli esatti.
SSH e brute force
I tentativi di indovinare le password si fermano al firewall, e chi ci riprova resta fuori sempre più a lungo.
I tentativi di brute force vengono individuati nel log SSH mentre accadono e l'indirizzo viene bannato sul firewall. A ogni nuova violazione il ban dura di più, o quanto scegli tu.
Dettagli tecnici
- 15 schemi: password errate, utenti inesistenti, errori PAM, scansioni prima dell'autenticazione, incompatibilità di protocollo e interruzioni dello scambio di chiavi
- Ban progressivi: 24 ore, 7 giorni, 30 giorni, poi permanente, o la durata che imposti
- Rilevamento del brute force per Postfix, Dovecot, MySQL, PostgreSQL, MongoDB, Pure-FTPd, ProFTPD e vsftpd
- Facoltativo: un indirizzo bannato su un server viene bannato su tutti i tuoi server
Web Application Firewall
Ogni visitatore riceve un punteggio di rischio: chi attacca viene rallentato, poi bloccato, poi bannato.
Ogni rilevamento aggiunge punti al punteggio del visitatore, che scende di 5 punti al minuto. Livelli di azione: osserva (30) → rallenta (60) → blocca (80) → ban sul firewall (100). Dalla dashboard vedi ogni regola integrata, cambi pesi, soglie e modalità per tipo, disattivi singoli schemi e aggiungi regole tue.
| Tipo di attacco | Punteggio | Modalità |
|---|---|---|
| RCE / Web shell / Shellshock | +50 | A punteggio |
| UA di scanner (sqlmap, nikto, nmap, nuclei…) | +50 | A punteggio |
| SQL injection / SSRF / Exploit web | +40 | A punteggio |
| Trappola honeypot (percorsi esca che definisci tu) | +40 | A punteggio |
| Path traversal / Header injection | +30 | A punteggio |
| Brute force WordPress | +30 | Soglia (10 richieste / 2 min) |
| XSS / Ricerca di .env / XMLRPC | +25 | A punteggio |
| Ricerca di file di configurazione | +20 | A punteggio |
| Raffica di 404 | +15 | Soglia (15 richieste / 5 min) |
Gestione dei bot
I motori di ricerca entrano, scraper e falsi crawler no. Decidi tu, bot per bot.
Circa 1.500 bot riconosciuti da liste pubbliche aggiornate ogni giorno. Per ogni categoria, o per ogni singolo bot, scegli tu: consenti, solo registra o blocca.
Dettagli tecnici
- Categorie: motori di ricerca, crawler di IA, strumenti SEO, scanner, monitoraggio, anteprime dei link e altro
- I bot che si dichiarano motori di ricerca vengono verificati tramite il loro indirizzo, e i falsi smascherati
- Ogni bot ha una spiegazione in parole semplici
Scanner malware
Trova web shell, backdoor e miner di criptovalute, e ti dice esattamente perché.
I tuoi siti e il sistema vengono scansionati a intervalli regolari e su richiesta. Ogni rilevamento spiega perché è stato segnalato, quanto è grave e di quale file si tratta, con il suo SHA-256.
Dettagli tecnici
- Scansione a firme — 28 schemi integrati per web shell, backdoor, miner di criptovalute e kit di phishing
- Motore YARA — regole della community per le minacce web, aggiornate ogni giorno (richiede lo strumento yara, installabile con un clic dalla dashboard)
- Ogni rilevamento spiega perché è stato segnalato, quanto è grave e lo SHA-256 del file, con link per verificarlo nei database pubblici di malware
- Riconoscimento dei framework — WordPress, Laravel, Django, Symfony, CakePHP, CodeIgniter, Node/Express, Rails, Joomla, Drupal
- Controlli di sicurezza dei framework — .env esposto, modalità DEBUG, APP_KEY, permessi troppo aperti, Telescope, wp-config
- Euristiche — rilevamento dell'entropia di Shannon, anomalie di data nelle cartelle di upload
- Integrità del sistema — binari di sistema modificati (dpkg -V / rpm -Va), indicatori di rootkit
- Scansione delle credenziali — file .env esposti, permessi delle chiavi SSH, .git nella cartella web, credenziali cloud
- Scansione del database WordPress — script iniettati in articoli e opzioni, amministratori non autorizzati
- Rilevamento dei processi — miner di criptovalute in esecuzione, reverse shell, script sospetti da /tmp
- Quarantena — con un clic sposti un file malevolo in quarantena, da cui può essere ripristinato
- Ignora — segnali un falso positivo una volta e le scansioni successive lo saltano
- Scansioni pianificate ogni 3, 6, 12 o 24 ore, più "Scansiona ora" dalla dashboard
- Controllo in tempo reale — verifica ogni 30 secondi le cartelle di upload in cerca di nuovi file PHP
- Prevenzione dei falsi positivi — checksum del core di WordPress, gravità in base al contesto
WAF inline ModSecurity (opzionale)
Ferma gli attacchi web alla prima richiesta, prima che arrivino alla tua applicazione.
Un livello inline facoltativo per Apache con mod_security2. Resta spento finché non consenti le modifiche al web server, e non tocca mai un server la cui configurazione è gestita da un pannello di hosting.
Dettagli tecnici
- Solo se consenti le modifiche al web server nelle Impostazioni — disattivato per impostazione predefinita
- Mai sui server la cui configurazione è gestita da un pannello di hosting o da uno strumento di gestione della configurazione
- Per Apache con mod_security2
- 13 regole — SQL injection, XSS, RCE, SSRF, path traversal, Shellshock, Log4Shell, Spring4Shell, blocco degli scanner
- Blocca alla prima richiesta, prima che il traffico arrivi alla tua applicazione
- Sicuro: se il test di configurazione di Apache fallisce, la modifica viene annullata
- I ban attivi vengono applicati anche da ModSecurity, per i visitatori dietro un proxy o una CDN
Integrità dei file e monitoraggio della persistenza
Sai subito quando cambia un file di sistema o qualcuno si prepara una via per tornare.
I file critici vengono registrati una volta e poi sorvegliati. Ogni modifica genera subito un avviso, compresi i punti che gli attaccanti usano per mantenere l'accesso dopo un riavvio.
Dettagli tecnici
- File di sistema principali — /etc/passwd, /etc/shadow, /etc/group, /etc/sudoers (+ sudoers.d/*), /etc/ssh/sshd_config, /etc/hosts, /etc/resolv.conf
- Persistenza tramite attività pianificate — /etc/crontab, /etc/cron.d/* e i crontab dei singoli utenti
- Persistenza SSH — authorized_keys di root e di ogni utente in /home/*
- Punti di rootkit / hijack — /etc/ld.so.preload (il classico hijack LD_PRELOAD in spazio utente)
- Persistenza systemd — /etc/systemd/system/*.service e *.timer
Rilevamento delle minacce in uscita e DNS
Scopre un server compromesso che parla con chi lo controlla.
InfraFence guarda ciò che il server manda in uscita con la stessa attenzione di ciò che entra: è così che si scopre una macchina già compromessa.
Dettagli tecnici
- Connessioni in uscita verso IP presenti in liste pubbliche di threat intelligence
- Ispezione DNS — ogni query DNS viene letta (senza modificare nulla) e collegata al programma che l'ha fatta: query verso server DNS inattesi o malevoli, domini che puntano a IP malevoli noti, tunnel DNS e malware che genera domini casuali (DGA)
- Il servizio DNS del server e le verifiche di antivirus e antispam vengono riconosciuti e non segnalati
Punteggio di rischio delle sessioni SSH
Trasforma segnali sparsi in un unico avviso sulla persona che era collegata.
Ogni sessione SSH viene seguita dall'accesso alla disconnessione e riceve un punteggio da 0 a 100. Se un altro rilevatore scatta mentre la sessione è aperta, il punteggio sale: sai chi era sul server quando è successo.
Dettagli tecnici
- Cosa conta: metodo di autenticazione, reputazione dell'indirizzo di origine, orario di accesso e comandi privilegiati (sudo, useradd, passwd, crontab, su)
- Correlazione Sigma: web firewall, integrità dei file, malware, scansione delle porte, traffico in uscita e DNS alzano il punteggio di ogni sessione aperta
- Ogni sessione riceve il punteggio finale alla chiusura
Hardening, vulnerabilità e punteggio di sicurezza
Mostra quanto è esposto ogni server, cosa correggere prima e come.
Oltre agli attacchi, InfraFence controlla il server stesso ogni giorno, o quando lo chiedi: impostazioni, servizi esposti, pacchetti obsoleti. E ti dice cosa correggere per primo.
Dettagli tecnici
- Da 40 a 50 controlli di hardening, secondo il server — impostazioni SSH, permessi dei file sensibili, database aperti su internet, account, impostazioni del web server, segreti esposti, software obsoleto
- Correzioni con un clic per quelle sicure: ogni modifica sta in un file dedicato, viene verificata prima di ricaricare il servizio e si può annullare. Le modifiche che potrebbero chiuderti fuori o rompere un sito vengono invece spiegate passo per passo
- Vulnerabilità note (CVE) dei pacchetti installati, dai tracker di sicurezza di Debian, Ubuntu, AlmaLinux e Rocky Linux — separando ciò che un aggiornamento corregge subito da ciò che non ha ancora una correzione
- Un punteggio di sicurezza da 0 a 100, con ciò che lo abbassa
Hardening di PHP
Trova le impostazioni PHP rischiose in ogni runtime e pool, e corregge quelle sicure.
InfraFence legge la configurazione effettiva di ogni versione di PHP del server e di ogni pool PHP-FPM, e segnala le impostazioni rischiose con il file e la riga da cui vengono. Sorveglia quei file e ti avvisa quando compare un valore pericoloso. È hardening e sorveglianza della configurazione: in PHP non viene caricato nulla, e non è una protezione che gira dentro le tue applicazioni.
Dettagli tecnici
- PHP della distribuzione, ondrej, remi, cPanel EA4, Plesk e CloudLinux alt-php, con ogni pool PHP-FPM e i siti che serve
- Controllati per runtime e pool: allow_url_include, display_errors, expose_php, cgi.fix_pathinfo, disable_functions, open_basedir sui pool condivisi, i flag dei cookie di sessione e allow_url_fopen
- Sorveglianza in tempo reale: un avviso quando viene attivato allow_url_include o display_errors, con il nome del file
- Correzioni con un clic per allow_url_include, display_errors ed expose_php, che AutoMode può applicare anche da solo; cgi.fix_pathinfo e disable_functions solo con la tua approvazione, mostrando i file dei siti che ne sarebbero toccati; per open_basedir e per i valori che un pool imposta nel proprio file, la riga esatta da cambiare a mano
- Ogni correzione va in un file drop-in tutto di InfraFence, viene verificata con php-fpm -t, ricaricata senza interruzioni (mai riavviata) e annullata se un sito smette di rispondere
- Su cPanel, Plesk e CloudLinux la configurazione di PHP viene segnalata, mai modificata
E altro
- Protezione di posta, database e FTP — rilevamento del brute force per Postfix, Dovecot, MySQL, PostgreSQL, MongoDB, Pure-FTPd, ProFTPD e vsftpd
- Compatibile con Docker — trova i log dei container web e protegge le porte pubblicate dei container
- Blocco per paese dalla dashboard
- Pannelli di hosting riconosciuti — cPanel/WHM, Plesk, DirectAdmin, CyberPanel, HestiaCP, Coolify, Easypanel e altri 17; InfraFence non modifica mai una configurazione gestita da un pannello
- LiteSpeed e OpenLiteSpeed riconosciuti
- Le modifiche fatte dalla dashboard arrivano ai server in circa un secondo
- Modalità monitor — rileva tutto, non blocca nulla
- Metriche di sistema — CPU, memoria, disco e rete
- Ogni evento spiegato in parole semplici, in 6 lingue
- Opzionale: un indirizzo bannato su un server viene bannato su tutti i tuoi server
- Kubernetes — DaemonSet con il chart Helm: una chiave di cluster registra ogni nodo, e ogni nodo compare come un server; gli aggiornamenti usano immagini firmate con cosign
- Vulnerabilità in ordine di rischio reale: prima quelle già sfruttate dagli attaccanti (CISA KEV), poi per probabilità di sfruttamento (EPSS)
- Analisi immediata di ogni incidente — causa probabile, rischio e cosa fare adesso, gratuita e calcolata nella dashboard; approfondimento con l'AI su richiesta
- Rete InfraFence facoltativa — vengono segnalati gli indirizzi che attaccano più clienti, e risaltano gli accessi SSH insoliti (account o paese nuovi)
- Avvisi via email, Slack, Discord, Telegram o webhook, più un riepilogo settimanale via email
- Autenticazione a due fattori e registro attività di chi ha cambiato cosa
Pro e AutoMode: una sicurezza che agisce, senza rischi
Trovare il problema è metà del lavoro. Con Pro l'AI ti dice cosa fare e lo applichi con un clic; con AutoMode lo fa lei per te. Sempre entro limiti precisi, e sempre con la possibilità di tornare indietro.
Le approvazioni richiedono l'autenticazione a due fattori: solo un owner o admin entrato con il codice di un'app di autenticazione può approvare o rifiutare, quindi attivala prima di affidarti ad AutoMode.
Solo azioni sicure e conosciute
AutoModeAutoMode sceglie da un catalogo fisso: ban, blocco paesi, correzioni di hardening (tra cui allow_url_include, display_errors ed expose_php di PHP), aggiornamenti di sicurezza nella tua finestra di manutenzione, chiusura di porte, blocchi in uscita, patch virtuali e scansioni. Non esegue mai comandi propri, non blocca mai i tuoi indirizzi né i luoghi da cui accedi, lascia stare i server in modalità monitor, e un interruttore la mette in pausa.
Un tocco per approvare ciò che è rischioso
AutoModeUna modifica che potrebbe chiudere fuori qualcuno, l'aggiornamento di un pacchetto critico, una porta fuori dalla lista sicura: AutoMode non lo fa da sola. Te lo chiede, e tu approvi o rifiuti con un tocco nella dashboard, con l'autenticazione a due fattori. Il link nell'avviso apre solo la richiesta, quindi un messaggio inoltrato non può approvare nulla. Le richieste senza risposta scadono dopo 24 ore.
Verificata dopo ogni modifica, annullata se rompe qualcosa
Tutti i pianiDopo ogni modifica a un server (una regola firewall, una correzione di hardening, una patch virtuale) l'agente controlla che SSH accetti ancora connessioni su ogni porta che usa e che ogni sito monitorato risponda ancora, senza nuovi errori. Se non è così, annulla la modifica da solo e ti dice perché.
Patch virtuali per le vulnerabilità sfruttate
Pro · AutoModeQuando su un server gira software con una vulnerabilità sfruttata attivamente, una regola ModSecurity mirata può proteggerlo finché non installi l'aggiornamento. In questa versione: Apache con ModSecurity. La configurazione viene testata prima del reload e ripristinata se qualcosa non va.
Chiudi le porte esposte, blocca le destinazioni pericolose
Pro · AutoModeUn database o un servizio di amministrazione (MySQL, PostgreSQL, Redis, MongoDB, Elasticsearch, l'API di Docker…) aperto su internet e sotto attacco si vede chiudere la porta. Un server che comunica con un indirizzo malevolo noto si vede bloccare quella destinazione. Le porte SSH non vengono mai chiuse, né 80/443 mentre un web server le usa, né una porta con una connessione attiva. Ogni azione si può annullare.
La rete InfraFence, in tempo reale
AutoModeQuando due organizzazioni AutoMode diverse che condividono le informazioni sulle minacce bannano lo stesso indirizzo entro un'ora, ciascuna con prove solide, ogni organizzazione AutoMode che le condivide lo blocca a sua volta, per 6 ore. Non tocca mai la tua whitelist, gli indirizzi da non bloccare mai né le reti da cui accedi.
Chiedi al tuo server
Pro · AutoModeChiedi a parole tue: chi ha provato ad accedere stanotte, perché un indirizzo è stato bannato, cosa è successo su un server questa settimana. L'assistente legge eventi, ban, incidenti, sessioni SSH, scansioni e azioni di AutoMode (in sola lettura) e può suggerire una correzione da applicare con un clic. 200 domande al giorno con Pro, 500 con AutoMode.
Bozze dei report NIS2 e GDPR
Pro · AutoModeDa un incidente o da un intervallo di tempo, InfraFence prepara la bozza del preallarme NIS2 (24 h), della notifica dell'incidente (72 h) e della relazione finale, e la valutazione della violazione secondo l'articolo 33 del GDPR, nella tua lingua, con una cronologia costruita dagli eventi. Sono bozze da rivedere e completare, non consulenza legale, e nulla viene inviato ad alcuna autorità.
Come funzionano le notifiche NIS2Punteggio di sicurezza
Tutti i pianiUn punteggio da 0 a 100 per ogni server e per l'organizzazione: esito dell'hardening, vulnerabilità aperte (quelle sfruttate pesano di più), porte rischiose aperte, malware, modalità monitor, versione dell'agente e autenticazione a due fattori. Con l'andamento e le 3 correzioni più utili. Lo vedono tutti i piani; applicare le correzioni con un clic è Pro.
Report mensile del valore
Piani a pagamentoIl primo giorno di ogni mese, via email e nella dashboard: attacchi bloccati, ban, correzioni applicate, azioni e approvazioni di AutoMode, come è cambiato il punteggio e una stima delle ore risparmiate, con il metodo di calcolo.
Sotto attacco? Un pulsante rosso.
Premi "Sono sotto attacco" nella dashboard e per le 24 ore successive l'AI risponde all'attacco da sola, con lo stesso catalogo sicuro e gli stessi limiti: banna gli attaccanti, attiva protezioni extra, applica correzioni sicure e aggiornamenti urgenti per le falle sfruttate. Tutto compare nell'attività, con Annulla. Due volte ogni 30 giorni con Basic e Pro, ogni volta che serve con AutoMode.
Pannelli di hosting
cPanel & WHM: DisponibilePlesk: In sviluppoPer hosting provider, web agency e MSP. Ban, malware trovati, eventi di sicurezza e scansioni per sito nel pannello che il tuo team usa già, su ogni server. Nessuna credenziale salvata nel pannello, incluso in Basic, Pro e AutoMode.
- Stato della protezione, punteggio di sicurezza, eventi critici e mappa degli attacchi
- Indirizzi bannati: sblocco solo su questo server, o aggiunta alla whitelist
- Malware e integrità dei file, eventi di sicurezza recenti
- Coesistenza con CSF/lfd, Imunify360, cPHulk, fail2ban, CrowdSec, Plesk Firewall e altri
- Siti e domini con la copertura della scansione malware, e Scansiona ora per un sito
- Nessuna credenziale nel pannello; solo root e amministratore
cPanel & WHM
DisponibileWHM » Plugins » InfraFence
RPM per AlmaLinux 8, 9, 10 e CloudLinux · .deb per Ubuntu 24.04
Plesk
In sviluppoPlesk Obsidian 18.0.60 o successivo, nella navigazione a sinistra
Estensione zip, installata con il gestore estensioni di Plesk
Mostra ai tuoi clienti che sono protetti
Metti il badge «Monitorato da InfraFence» sul tuo sito. Rimanda a una pagina di trasparenza pubblica su infrafence.com con l'ora dell'ultimo controllo, gli attacchi bloccati negli ultimi 30 giorni e le protezioni attive.
- Un'immagine dentro un link: nessuno script e nessun cookie sul tuo sito.
- Non mostra mai indirizzi, rilevamenti o punteggi, e diventa grigio neutro quando un controllo è in ritardo.
- Una prova del monitoraggio per i tuoi clienti e per i questionari dei fornitori come quelli NIS2.
Cosa ottieni
| InfraFence | |
|---|---|
| Dashboard live per tutti i tuoi server | Sì, aggiornata in tempo reale |
| Installazione | Un comando, con un controllo in sola lettura prima |
| Brute force SSH | 15 schemi, ban progressivi |
| Rischio delle sessioni SSH | Sì, correlato con tutti gli altri rilevatori |
| Web application firewall | 15 tipi di attacco, modificabili dalla dashboard |
| Bot | ~1.500 riconosciuti; consenti, registra o blocca per categoria o bot |
| Malware | Firme + YARA, con quarantena e ignora |
| Integrità dei file e persistenza | Su tutto il sistema |
| Minacce in uscita e DNS | DNS ispezionato pacchetto per pacchetto, collegato al programma |
| Docker | Sì: log dei container e porte pubblicate |
| Kubernetes | DaemonSet Helm, un server per nodo |
| Avvisi | Email, Slack, Discord, Telegram, webhook |
| Analisi degli incidenti | Immediata e gratuita, AI su richiesta |
| Modalità monitor (solo rilevamento) | Sì |
| Correzioni applicate per te | AutoMode: catalogo fisso, approvazioni, verifica, con Annulla |
| Vulnerabilità sfruttate | Patch virtuali finché non aggiorni (Apache + ModSecurity) |
| Report sugli incidenti | Bozze NIS2 e GDPR da rivedere |
| Disinstallazione | Rimuove tutto ciò che ha aggiunto |
| Prezzo | 8,90 €/server/mese, 1 server gratis |
Sicurezza e fiducia
Usare questo agente significa dargli accesso privilegiato al tuo server — è una richiesta seria, e non la prendiamo alla leggera. Ecco esattamente cosa sostiene questa fiducia in produzione:
- Source-available e verificabile
- L'agente è distribuito con licenza BSL 1.1. È gratuito al 100% per l'uso interno in produzione, completamente trasparente, e puoi verificarne ogni riga prima di installarlo.
- Controlla prima di modificare
- Una scansione in sola lettura del server viene eseguita prima dell'installazione e ogni giorno. Le modifiche al web server e il blocco dalle liste di minacce restano disattivati finché non li attivi, e non avvengono mai dove la configurazione è gestita da un pannello di hosting.
- Cosa legge
- Per rilevare le minacce legge i log di sistema e del web server, i file dei siti per la scansione malware (compresi .env e file di configurazione), articoli e utenti di WordPress per la scansione WordPress, e il traffico DNS e le connessioni di rete del server.
- Cosa invia
- Solo eventi di sicurezza: IP dell'attaccante, tipo, ora e i dettagli necessari per capirli — per un attacco web la singola riga di log che l'ha fatto scattare, per un malware il percorso del file e il testo trovato. Log e file completi non lasciano mai il tuo server. Nessuna telemetria. Nulla viene condiviso con terzi, tranne che per le funzioni AI: quando chiedi un'analisi, usi l'assistente o prepari un report, e mentre AutoMode o la modalità emergenza sono attive, gli eventi necessari vengono inviati ad Anthropic per produrre la risposta.
- Catena firewall dedicata
- Tutte le sue regole stanno nelle sue catene INFRAFENCE, ripristinate automaticamente se un altro strumento le rimuove. Le tue regole esistenti non vengono mai modificate.
- Binari firmati
- Ogni release è compilata dalla CI di GitHub Actions con firme Cosign e attestazione di provenienza della build.
- Modalità monitor
- Rileva tutto, non blocca nulla — attivi la protezione quando sei pronto.
- Disinstallazione pulita
- Un comando rimuove l'agente e tutto ciò che ha aggiunto: catene firewall, modifiche al web server e il servizio.