Eventos e atividade
Como os eventos do InfraFence são organizados - categorias, gravidades, a análise de incidentes e a página Atividade, que lista cada ação do AutoMode, do modo de emergência e sua, com desfazer.
Última atualização:
Eventos
Tudo o que o agente detecta é um evento, com um tipo, uma gravidade (info, atenção ou crítico), um horário e o endereço de origem, quando houver. Os eventos são agrupados em categorias:
| Categoria | O que abrange |
|---|---|
| Ataques web | Ataques contra o seu servidor web: SQL injection, XSS, path traversal, bots maliciosos e scanners. |
| Saída & DNS | Conexões de saída para endereços sabidamente maliciosos, atividade DNS suspeita. |
| Malware | Varreduras de malware, arquivos em quarentena, detecções YARA. |
| Integridade de arquivos | Alterações em arquivos críticos do sistema. |
| Sessões SSH | Logins SSH, pontuações de risco das sessões, tentativas de força bruta SSH. |
| Monitores do host | Varreduras de portas, inundações de requisições e processos zumbis no próprio servidor. |
| Infraestrutura | Eventos de firewall (CSF), Kubernetes, painel de hospedagem e bancos de dados expostos. |
| Outros | Eventos que ainda não se encaixam em nenhuma outra categoria. |
Os eventos operacionais (início e fim de varreduras, atualizações, autorreparo do firewall) também são guardados, mas não contam como detecções e nunca disparam alertas.
Histórico de eventos: 30 dias no Starter, 90 dias nos planos pagos.
Incidentes e análise
Eventos relacionados se tornam um incidente. Todos os planos têm a análise instantânea: causa, risco e o que fazer, calculada no painel a partir dos dados dos eventos, sem enviar dados a lugar nenhum.
No Pro e superiores, Analisar com IA acrescenta uma análise com IA: causa provável, avaliação de risco e ações recomendadas, com Correções seguras que você pode aplicar em um clique. Ela envia os detalhes do incidente a um provedor de IA terceiro, e o painel avisa isso toda vez, antes do envio.
Problemas abertos e resolvidos
Alguns eventos descrevem um problema que pode continuar existindo: uma porta de banco de dados aberta para a internet (db_exposed), um arquivo do sistema alterado, uma configuração arriscada do PHP, um malware encontrado, um patch virtual ou uma correção de hardening que falharam. Um problema assim fica Aberto até ser resolvido. Depois mostra um selo verde Resolvido com como, por quem e quando, e deixa de contar nos eventos críticos, em Requer atenção e na contagem de críticos do servidor. Os eventos continuam no histórico.
O InfraFence resolve um problema sozinho quando:
| O que aconteceu | O que resolve |
|---|---|
| O firewall fechou a porta, a seu pedido ou do AutoMode | a porta exposta |
| Uma correção de hardening ou de PHP foi aplicada e mantida | essa verificação |
| Uma varredura de hardening posterior dá a verificação como aprovada | essa verificação |
| O arquivo foi para a quarentena, ou você ignorou o achado | esse achado de malware |
| Um patch virtual foi aplicado depois de uma falha | esse patch |
Owners e admins também podem abrir o incidente, ou o evento na página do servidor, e escolher Marcar como resolvido (você corrigiu) ou Marcar como esperado (a alteração foi sua), com uma observação opcional, e Reabrir depois. Os membros veem o status, mas não podem alterá-lo. Cada mudança fica no registro de atividades.
A análise de um incidente resolvido começa pela resolução, por exemplo "porta 3306 fechada (AutoMode). Não há nada a fazer.", e mantém a análise inicial em Análise original. Reabrir traz de volta a visão normal.
Uma nova ocorrência depois da resolução, como a mesma porta encontrada aberta de novo, volta a ficar aberta. A cada sincronização o agente do servidor recebe as resoluções dos últimos 30 dias, com "user", "AutoMode" ou "agent" como autor e nunca um endereço de email.
No servidor, com o agente 1.0.34 ou posterior, o agente e os plugins dos painéis mostram o mesmo estado: infrafence-agent panel events e panel findings dizem se cada problema está aberto ou resolvido, e o plugin do WHM não conta mais os resolvidos. O agente também resolve sozinho o que ele corrigiu: uma porta que o firewall dele fechou (não enquanto a porta ainda for acessível por IPv6), uma correção aplicada e verificada, um arquivo colocado em quarentena, um pacote atualizado. Ele guarda essas resoluções por 30 dias, mesmo depois de reiniciar. E uma porta de banco de dados que o firewall do agente mantém fechada não é mais reportada como exposta quando o agente reinicia, mesmo que o banco continue escutando em todos os endereços.
Atividade
Atividade lista tudo o que o AutoMode, o modo de emergência e as correções que você aplicou a partir da análise fizeram, do mais recente ao mais antigo. Filtre por origem (AutoMode, Emergência, Aplicada por você), por status e por sessão de emergência. A página se atualiza a cada 30 segundos.
| Status | Significado |
|---|---|
| Na fila | Esperando o servidor pegá-la. |
| Aplicada | Feita e verificada. |
| Falhou | Não pôde ser feita; o motivo é mostrado. |
| Desfeita pelo servidor | Feita, depois desfeita pelo agente porque o SSH ou um site parou de responder. |
| Desfeita | Desfeita por uma pessoa. |
| Ignorada | Não feita, com o motivo (por exemplo, modo monitor ou um endereço da sua whitelist). |
| Aguardando aprovação | Esperando um proprietário ou administrador. |
| Expirada | Ninguém a aprovou em 24 horas. |
Desfazer deixa tudo como estava; o servidor aplica em até um minuto. Atualizações instaladas não podem ser desfeitas.
Quem alterou o quê
O Registro de atividades em Configurações lista quem alterou o quê na organização, do mais recente ao mais antigo. A atividade do agente não aparece ali.