Configuração
Configure o agente InfraFence - as configurações do painel que chegam a todos os servidores em segundos, cada chave de /etc/infrafence/config.json e as variáveis de ambiente que o agente lê.
Última atualização:
Quase tudo é configurado no painel, e as alterações chegam aos servidores em cerca de um segundo. No servidor há apenas o arquivo de registro e algumas variáveis de ambiente para configurações incomuns.
Configurações no painel
Configurações › Agente vale para todos os servidores da organização. Os membros podem ver; proprietários e administradores podem alterar.
| Configuração | Padrão | O que faz |
|---|---|---|
| Modo monitor (apenas detecção, sem bloqueio) | desligado | Detecta e reporta tudo, não bane nada e não aplica bloqueios por país. |
| Limite de força bruta (tentativas falhas) | 5 | Logins SSH falhos de um mesmo endereço antes de um banimento. E-mail, banco de dados e FTP usam um valor fixo de 5 tentativas em 5 minutos. |
| Janela de força bruta (segundos) | 60 | A janela em que as tentativas SSH são contadas. |
| Duração dos banimentos | Progressiva | Progressiva: 24 horas, 7 dias, 30 dias, depois permanente, ou sempre 1 hora, 24 horas, 7 dias, 30 dias, ou permanente. |
| Banir em todos os servidores | desligado | Um endereço banido em um servidor é banido em todos os servidores da organização; desbanir o remove em todos. |
| Países bloqueados (códigos ISO separados por vírgula) | nenhum | Bloqueio por país. |
| Rastreamento de sessões SSH ativado | ligado | Pontua cada sessão SSH: Risco das sessões SSH. |
| Detecção Sigma ativada, Nível mínimo do Sigma | ligado, atenção | Aumenta o risco das sessões SSH abertas quando outros detectores disparam no nível indicado ou acima. |
Em Alterações nos seus servidores:
| Configuração | Padrão | O que faz |
|---|---|---|
| Permitir alterações na configuração do servidor web | desligado | Permite que o agente adicione regras ModSecurity e bloqueio por user agent ao nginx ou ao Apache. Nunca em servidores cuja configuração é gerenciada por um painel de hospedagem, pelo LiteSpeed ou por uma ferramenta de gerenciamento de configuração. |
| Bloquear tráfego das listas de threat intelligence | desligado | Descarta o tráfego de entrada das redes listadas. Exige ipset; nunca em modo monitor. |
| Inspecionar o tráfego DNS | ligado | Ameaças de saída e DNS. |
| Detectar varreduras de portas | ligado | 15 ou mais portas em 10 minutos a partir de um endereço, ou 30 ou mais a partir de uma rede. |
| Banir quem varre portas | desligado | Bane os endereços de onde vêm as varreduras de portas. |
| Atualizações do agente | Apenas notificar | Ou Instalar automaticamente. Veja Atualizar o agente. |
O restante fica em outras páginas: a whitelist e a rede InfraFence em Configurações › Rede, o agendamento da varredura de malware em Configurações › Malware, as regras do firewall web em Web firewall, as escolhas sobre bots em Bots, os alertas em Configurações › Alertas.
/etc/infrafence/config.json
Gravado pelo registro, modo 0600. Normalmente você nunca o edita.
| Chave | Tipo | Significado |
|---|---|---|
server_url |
string | O endereço do painel. Obrigatória. |
agent_token |
string | O token do próprio agente, recebido no registro. Obrigatória. |
agent_id |
number | O id do servidor no painel. |
reverb_url |
string | Endereço do antigo canal em tempo real, se houver. |
reverb_app_key |
string | A chave dele. |
auth_endpoint |
string | O endpoint de autorização dele. |
panel |
boolean | true abre o socket do painel de hospedagem em um servidor sem cPanel nem Plesk. Desligado por padrão. |
Sem server_url ou agent_token, o agente para com config is incomplete: server_url and agent_token are required.
Variáveis de ambiente
Defina-as com sudo systemctl edit infrafence-agent:
[Service]
Environment=WEB_LOG_PATH=/srv/www/logs/access.logdepois sudo systemctl restart infrafence-agent.
| Variável | Padrão | Efeito |
|---|---|---|
INFRAFENCE_CONFIG |
/etc/infrafence/config.json |
O arquivo de configuração. |
AUTH_LOG_PATH |
o journal do systemd, senão /var/log/auth.log ou /var/log/secure |
Um arquivo de log SSH fora do padrão para ler no lugar. |
WEB_LOG_PATH |
detectado | Logs de acesso web, separados por vírgula. Quando definida, sempre prevalece sobre a detecção. |
MAIL_LOG_PATH |
detectado (/var/log/mail.log, /var/log/maillog…) |
O log do servidor de e-mail. |
DB_LOG_PATH |
detectado | O log do banco de dados. |
FTP_LOG_PATH |
detectado (/var/log/vsftpd.log, /var/log/proftpd/proftpd.log) |
O log do servidor FTP. |
MODSEC_AUDIT_LOG |
detectado | O log de auditoria do ModSecurity. |
GEOIP_DB_PATH |
o banco baixado do painel, /etc/infrafence/geoip-country.mmdb |
Seu próprio banco de países no formato MaxMind; se estiver definido, nada é baixado. |
AGENT_IP |
detectado | O endereço público do servidor, quando a detecção escolhe o errado. |
Os logs de acesso web são encontrados automaticamente para nginx, Apache, LiteSpeed, painéis de hospedagem e containers Docker. Se nenhum for encontrado, o log diz [webwatcher] no access logs found — web attack detection disabled (set WEB_LOG_PATH to override).
Comandos
Os comandos do próprio agente estão na referência de comandos.