Coexistência com outras ferramentas de segurança
Como o InfraFence funciona ao lado de CSF e lfd, Imunify360, ImunifyAV, cPHulk, fail2ban, CrowdSec, BitNinja, Monarx, firewalld, ufw, Plesk Firewall e ModSecurity, ferramenta por ferramenta.
Última atualização:
A maioria dos servidores já roda alguma coisa. O InfraFence foi feito para ficar ao lado dela: todas as suas regras ficam nas suas próprias cadeias e sets (INFRAFENCE, INFRAFENCE-RULES, INFRAFENCE-PORTS, INFRAFENCE-EGRESS), e ele nunca edita, esvazia ou reordena as regras de outra ferramenta. Se o reload de outra ferramenta (ufw reload, firewall-cmd --reload, csf -r, netfilter-persistent, iptables-restore) remove o seu jump, o agente o recoloca em até um minuto.
O agente detecta essas ferramentas em modo somente leitura, e a tela Coexistência dos plugins para painéis as mostra. Quando outra ferramenta ativa gerencia o firewall, o InfraFence trabalha em modo coexist; caso contrário, é primary.
| Ferramenta | O que o InfraFence faz ao lado dela |
|---|---|
| CSF (ConfigServer Firewall) | Mantém a sua própria cadeia e nunca edita csf.conf, csf.allow ou csf.deny. Depois de csf -r, restaura apenas o próprio jump. As portas do CSF só mudam quando você pede pelo painel. |
| lfd (Login Failure Daemon) | Os dois leem os mesmos logs e bloqueiam cada um por conta própria: os bloqueios do lfd ficam no CSF, os banimentos do InfraFence ficam no seu próprio set. |
| Imunify360 | Não mexe no firewall, nos ipsets nem no WAF do Imunify360 e se limita à sua própria cadeia; os dois bloqueiam de forma independente. |
| ImunifyAV | Os dois verificam arquivos. O InfraFence nunca exclui nem move um arquivo por conta própria: quarentena só a pedido. |
| cPHulk | O cPHulk bloqueia logins no painel e nos serviços; o InfraFence lê os mesmos logs e bane no firewall. O cPHulk não é alterado. |
| fail2ban | Compatível: os dois apenas descartam tráfego. O InfraFence não toca nas cadeias do fail2ban. |
| CrowdSec | Compatível: os dois apenas descartam tráfego. O InfraFence não toca nas regras do CrowdSec. |
| Plesk Firewall | O Plesk reescreve suas regras quando você aplica alterações; o InfraFence nunca as edita e restaura apenas a própria cadeia em até um minuto. |
| BitNinja | Não mexe no firewall nem no WAF do BitNinja e se limita à sua própria cadeia; os dois bloqueiam de forma independente. |
| Monarx | Os dois verificam arquivos. O InfraFence nunca exclui nem move um arquivo por conta própria: quarentena só a pedido. |
| firewalld | Mantém as próprias regras; a cadeia do InfraFence é independente e é restaurada em até um minuto após um reload. |
| ufw | O InfraFence salta para a sua cadeia antes das regras do ufw; um reload do ufw é reparado em até um minuto. |
| ModSecurity | O InfraFence lê o log de auditoria do ModSecurity para as detecções. Com um painel de hospedagem, não adiciona regras ModSecurity: o painel controla a configuração do servidor web. Os conjuntos de regras encontrados (OWASP CRS, Comodo WAF, Imunify360 WAF, Atomicorp) são listados. |
Quando uma ferramenta reescreve o firewall o tempo todo
Se o agente precisa reparar as suas cadeias várias vezes seguidas, ou três ou mais vezes em uma hora, ele reporta um evento firewall_conflict: outra ferramenta continua reescrevendo o firewall (ufw, firewalld, CSF, netfilter-persistent ou uma execução de gerenciamento de configuração). Os banimentos continuam funcionando; o evento indica onde procurar.
Whitelists
Um endereço da whitelist fica apenas isento dos bloqueios do InfraFence: o InfraFence nunca adiciona um ACCEPT, então nunca abre nada que outra ferramenta fechou.