AutoMode

Com o plano AutoMode, o InfraFence aplica sozinho as correções seguras, 24 horas por dia, e pergunta a você antes de qualquer coisa arriscada. Ele escolhe apenas de um catálogo fixo de ações e nunca executa comandos próprios.

Antes de usar o AutoMode ou aprovar correções: ative a autenticação de dois fatores. Aprovar ou rejeitar o que o AutoMode pede, e aplicar você mesmo uma correção arriscada, exigem um proprietário ou admin da organização com sessão iniciada com autenticação de dois fatores. Sem ela ninguém pode aprovar: as solicitações ficam em Aprovações e expiram após 24 horas. Enquanto um proprietário ou admin estiver sem 2FA, a pontuação de segurança de cada servidor também perde 5 pontos. Ative-a em Configurações › Segurança: leva um minuto.

O catálogo#

Restaurar um arquivo da quarentena também está no catálogo, mas só uma pessoa pode pedir isso.

O que ele faz sozinho#

• ativa o banimento por varredura de portas, o bloqueio por listas de ameaças e os banimentos progressivos;
• executa as varreduras todos os dias;
• aplica as correções de hardening que não podem trancar ninguém do lado de fora, entre elas allow_url_include, display_errors e expose_php do PHP;
• fecha uma porta de banco de dados ou de administração (MySQL, PostgreSQL, Redis, MongoDB, Elasticsearch, Memcached, a API do Docker, CouchDB, InfluxDB) aberta para a internet e atacada nas últimas 24 horas;
• bloqueia o tráfego de saída para endereços em listas de ameaças (correspondências críticas), exceto destinos aos quais o servidor se conecta regularmente;
• bane por 24 horas um endereço de uma lista de ameaças que se conectou a um serviço do servidor e o atacou;
• aplica patches virtuais para CVEs explorados (Apache com ModSecurity);
• instala atualizações de segurança dentro da sua janela de atualizações, um servidor por vez.

Um banimento exige 5 ou mais eventos de entrada do endereço em 24 horas, ou um evento crítico. Uma correspondência com uma lista de ameaças conta como um dos 5, nunca como um evento crítico.

O que precisa da sua aprovação#

• correções de hardening que mexem nos logins ou podem mudar o comportamento de um site, como cgi.fix_pathinfo e disable_functions do PHP;
• atualizações de pacotes críticos (OpenSSH, a biblioteca C, systemd, Docker, Kubernetes, bancos de dados, PAM, sudo, ferramentas de firewall, OpenSSL, rede);
• colocar em quarentena um arquivo fora das pastas web;
• fechar qualquer outra porta, por exemplo a 3306 do MySQL ou a 5432 do PostgreSQL quando ninguém as atacou nas últimas 24 horas (veja Portas e bloqueio de saída);
• um destino ou patch virtual que não atende às condições automáticas;
• bloquear um destino ao qual o servidor se conecta regularmente (em 3 ou mais dos últimos 7 dias), mesmo que esteja em uma lista de ameaças: pode ser um serviço do qual o servidor depende (veja Destinos habituais);
• restaurar um arquivo da quarentena.

O pedido aparece em Aprovações e nos seus canais de alerta. Aprovar ou Rejeitar é feito no painel; decidir exige autenticação de dois fatores, e o link de um alerta só abre o pedido, então uma mensagem encaminhada não consegue aprovar nada. Pedidos que ninguém responde expiram após 24 horas.

Decidir exige a autenticação de dois fatores. Só um proprietário ou admin com sessão iniciada com autenticação de dois fatores pode aprovar ou rejeitar: ative-a em Configurações › Segurança antes que chegue a primeira solicitação. Aplicar em uma correção da pontuação de segurança, por um proprietário ou admin com 2FA, já é a sua decisão e roda na hora; sem 2FA vira uma solicitação como as do AutoMode.

Quando um Aplicar não pode rodar, a mensagem diz por quê: a mudança já está aplicada (nada a fazer; uma proteção extra que já está ativa não é mais sugerida), o seu plano, o seu papel, uma sessão que não concluiu a autenticação de dois fatores, um servidor ou item que não existe mais, ou o painel fora de alcance. Uma correção que vira uma solicitação de aprovação também avisa.

O que ele nunca faz#

• executar um comando próprio, ou qualquer coisa fora do catálogo;
• banir endereços da whitelist, endereços da lista do InfraFence que nunca devem ser bloqueados, os endereços dos seus servidores ou um endereço de onde alguém fez login por SSH;
• bloquear um país de onde vêm logins SSH;
• fechar uma porta SSH ou uma porta usada por um servidor web;
• refazer algo que você desfez;
• alterar servidores em modo monitor: ele registra o que teria feito.

Limites: no máximo 50 ações por servidor por hora e 200 banimentos por organização por hora.

Verificado, e desfeito se quebrar algo#

Depois de cada alteração, o agente verifica se o SSH ainda aceita conexões em todas as portas que usa e se todos os sites monitorados ainda respondem. Se não, ele desfaz a alteração sozinho, e Atividade mostra Desfeita pelo servidor com o motivo.

Atividade e desfazer#

Atividade lista tudo o que o AutoMode, o modo de emergência e as correções que você aplicou fizeram, do mais recente ao mais antigo, com filtros por origem e status. Desfazer deixa tudo como estava; o servidor aplica em até um minuto. Atualizações instaladas não podem ser desfeitas.

Configurações#

Em Configurações › Agente, o cartão do AutoMode:

• Pausar o AutoMode e Retomar o AutoMode: o que já foi aplicado permanece.
• Janela de atualizações: Das, Às e Fuso horário. As atualizações de segurança são instaladas apenas entre esses horários. Fora da janela, só o modo de emergência instala atualizações, e apenas para vulnerabilidades que estão sendo exploradas.

As funções de IA enviam à Anthropic os eventos de que precisam para produzir a resposta; veja o modelo de segurança.