Tudo o que o InfraFence detecta e bloqueia
Cada camada de detecção e resposta, em todos os planos, e o que o Pro e o AutoMode acrescentam. Abra os detalhes técnicos para ver os padrões, arquivos e verificações exatos.
SSH e força bruta
Tentativas de adivinhar senhas param no firewall, e quem insiste fica de fora cada vez por mais tempo.
Ataques de força bruta são detectados no log do SSH na hora e o endereço é bloqueado no firewall. A cada nova tentativa o bloqueio dura mais, ou o tempo que você escolher.
Detalhes técnicos
- 15 padrões: senhas erradas, usuários inexistentes, falhas de PAM, varreduras antes da autenticação, incompatibilidades de protocolo e quedas na troca de chaves
- Bloqueios progressivos: 24 horas, 7 dias, 30 dias e depois permanente, ou a duração que você definir
- Detecção de força bruta para Postfix, Dovecot, MySQL, PostgreSQL, MongoDB, Pure-FTPd, ProFTPD e vsftpd
- Opcional: um endereço bloqueado em um servidor é bloqueado em todos os seus servidores
Web Application Firewall
Cada visitante recebe uma pontuação de risco: o atacante é desacelerado, depois bloqueado, depois banido.
Cada detecção soma pontos à pontuação do visitante, que cai 5 pontos por minuto. Níveis de ação: observar (30) → limitar (60) → bloquear (80) → banir no firewall (100). No painel você vê cada regra embutida, muda pesos, limites e modo por tipo, desativa padrões individuais e adiciona suas próprias regras.
| Tipo de ataque | Pontuação | Modo |
|---|---|---|
| RCE / Web shell / Shellshock | +50 | Por pontuação |
| UA de scanner (sqlmap, nikto, nmap, nuclei…) | +50 | Por pontuação |
| SQL injection / SSRF / Exploit web | +40 | Por pontuação |
| Armadilha honeypot (caminhos isca que você define) | +40 | Por pontuação |
| Path traversal / Header injection | +30 | Por pontuação |
| Força bruta no WordPress | +30 | Limite (10 req / 2 min) |
| XSS / Busca por .env / XMLRPC | +25 | Por pontuação |
| Busca por arquivos de configuração | +20 | Por pontuação |
| Rajada de 404 | +15 | Limite (15 req / 5 min) |
Gestão de bots
Buscadores entram; scrapers e falsos robôs, não. Você decide, bot por bot.
Cerca de 1.500 bots reconhecidos a partir de listas públicas atualizadas diariamente. Para cada categoria, ou cada bot, você escolhe: permitir, só registrar ou bloquear.
Detalhes técnicos
- Categorias: buscadores, robôs de IA, ferramentas de SEO, scanners, monitoramento, prévias de links e mais
- Bots que dizem ser um buscador são verificados pelo endereço, e os falsos são desmascarados
- Cada bot vem com uma explicação em linguagem simples
Scanner de malware
Encontra web shells, backdoors e mineradores de criptomoedas, e explica exatamente por quê.
Seus sites e o sistema são verificados de forma agendada e sob demanda. Cada achado diz por que foi apontado, qual a gravidade e qual é o arquivo, com seu SHA-256.
Detalhes técnicos
- Varredura por assinaturas — 28 padrões embutidos para web shells, backdoors, mineradores de criptomoedas e kits de phishing
- Motor YARA — regras da comunidade para ameaças web, atualizadas diariamente (requer a ferramenta yara, instalável com um clique pelo painel)
- Cada detecção explica por que foi sinalizada, quão grave é e o SHA-256 do arquivo, com links para verificá-lo em bases públicas de malware
- Detecção de frameworks — WordPress, Laravel, Django, Symfony, CakePHP, CodeIgniter, Node/Express, Rails, Joomla, Drupal
- Verificações de segurança de frameworks — .env exposto, modo DEBUG, APP_KEY, permissões frouxas, Telescope, wp-config
- Heurísticas — detecção de entropia de Shannon, anomalias de data em pastas de upload
- Integridade do sistema — binários do sistema modificados (dpkg -V / rpm -Va), indicadores de rootkit
- Varredura de credenciais — arquivos .env expostos, permissões de chaves SSH, .git na pasta web, credenciais de nuvem
- Varredura do banco do WordPress — scripts injetados em posts e opções, administradores indevidos
- Detecção de processos — mineradores de criptomoedas em execução, reverse shells, scripts suspeitos em /tmp
- Quarentena — um clique move um arquivo malicioso para a quarentena, de onde pode ser restaurado
- Ignorar — marque um falso positivo uma vez e as próximas varreduras o pulam
- Varreduras agendadas a cada 3, 6, 12 ou 24 horas, além de "Varrer agora" no painel
- Monitoramento em tempo real — verifica as pastas de upload a cada 30 segundos em busca de novos arquivos PHP
- Prevenção de falsos positivos — checksums do núcleo do WordPress, gravidade conforme o contexto
WAF inline ModSecurity (opcional)
Barra ataques web já na primeira requisição, antes de chegarem à sua aplicação.
Uma camada inline opcional para Apache com mod_security2. Fica desligada até você permitir alterações no servidor web, e nunca mexe em um servidor cuja configuração é gerenciada por um painel de hospedagem.
Detalhes técnicos
- Só se você permitir alterações no servidor web nas Configurações — desligado por padrão
- Nunca em servidores cuja configuração é gerenciada por um painel de hospedagem ou ferramenta de gestão de configuração
- Para Apache com mod_security2
- 13 regras — SQL injection, XSS, RCE, SSRF, path traversal, Shellshock, Log4Shell, Spring4Shell, bloqueio de scanners
- Bloqueia na primeira requisição, antes que o tráfego chegue à sua aplicação
- Seguro: se o teste de configuração do Apache falhar, a alteração é desfeita
- Os bans ativos também são aplicados pelo ModSecurity, para visitantes atrás de um proxy ou CDN
Integridade de arquivos e monitoramento de persistência
Saiba na hora quando um arquivo do sistema muda ou alguém deixa um caminho para voltar.
Os arquivos críticos são registrados uma vez e vigiados a partir daí. Qualquer alteração gera um alerta na hora, inclusive nos pontos que atacantes usam para manter o acesso após uma reinicialização.
Detalhes técnicos
- Arquivos centrais do sistema — /etc/passwd, /etc/shadow, /etc/group, /etc/sudoers (+ sudoers.d/*), /etc/ssh/sshd_config, /etc/hosts, /etc/resolv.conf
- Persistência por tarefas agendadas — /etc/crontab, /etc/cron.d/* e os crontabs de cada usuário
- Persistência SSH — authorized_keys do root e de cada usuário em /home/*
- Pontos de rootkit / sequestro — /etc/ld.so.preload (o clássico sequestro LD_PRELOAD em espaço de usuário)
- Persistência systemd — /etc/systemd/system/*.service e *.timer
Detecção de ameaças de saída e DNS
Descobre um servidor comprometido conversando com quem o controla.
O InfraFence olha o que o servidor envia para fora com a mesma atenção que o que entra: é assim que se descobre uma máquina já comprometida.
Detalhes técnicos
- Conexões de saída para IPs em listas públicas de threat intelligence
- Inspeção de DNS — cada consulta DNS é lida (sem alterar nada) e ligada ao programa que a fez: consultas a servidores DNS inesperados ou maliciosos, domínios que apontam para IPs maliciosos conhecidos, túneis DNS e malware que gera domínios aleatórios (DGA)
- O serviço DNS do próprio servidor e as consultas de antivírus e antispam são reconhecidos e não reportados
Pontuação de risco das sessões SSH
Transforma sinais dispersos em um único alerta sobre a pessoa que estava conectada.
Cada sessão SSH é acompanhada do login ao logout e recebe uma pontuação de 0 a 100. Se outro detector disparar com a sessão aberta, a pontuação sobe: você sabe quem estava no servidor quando aconteceu.
Detalhes técnicos
- O que conta: método de autenticação, reputação do endereço de origem, horário do login e comandos privilegiados (sudo, useradd, passwd, crontab, su)
- Correlação Sigma: firewall web, integridade de arquivos, malware, varredura de portas, tráfego de saída e DNS elevam a pontuação de cada sessão aberta
- Cada sessão recebe a pontuação final ao ser encerrada
Hardening, vulnerabilidades e pontuação de segurança
Mostra o quanto cada servidor está exposto, o que corrigir primeiro e como.
Além dos ataques, o InfraFence verifica o próprio servidor todos os dias, ou quando você pedir: configurações, serviços expostos, pacotes desatualizados. E diz o que corrigir primeiro.
Detalhes técnicos
- De 40 a 50 verificações de hardening, conforme o servidor — configurações de SSH, permissões de arquivos sensíveis, bancos de dados abertos para a internet, contas, configurações do servidor web, segredos expostos, software desatualizado
- Correções com um clique para as seguras: cada alteração fica em um arquivo próprio, é testada antes de recarregar o serviço e pode ser desfeita. Alterações que poderiam trancar você fora ou quebrar um site são explicadas passo a passo
- Vulnerabilidades conhecidas (CVE) dos pacotes instalados, dos rastreadores de segurança do Debian, Ubuntu, AlmaLinux e Rocky Linux — separando o que uma atualização corrige agora do que ainda não tem correção
- Uma pontuação de segurança de 0 a 100, mostrando o que a reduz
Hardening do PHP
Encontra configurações arriscadas do PHP em cada runtime e pool, e corrige as seguras.
O InfraFence lê a configuração efetiva de cada versão do PHP no servidor e de cada pool do PHP-FPM, e informa as configurações arriscadas com o arquivo e a linha de onde vêm. Ele vigia esses arquivos e avisa você quando aparece um valor perigoso. É hardening e vigilância da configuração: nada é carregado no PHP, e não é uma proteção que roda dentro das suas aplicações.
Detalhes técnicos
- PHP da distribuição, ondrej, remi, cPanel EA4, Plesk e CloudLinux alt-php, com cada pool do PHP-FPM e os sites que ele atende
- Verificados por runtime e pool: allow_url_include, display_errors, expose_php, cgi.fix_pathinfo, disable_functions, open_basedir em pools compartilhados, as flags dos cookies de sessão e allow_url_fopen
- Vigilância em tempo real: um alerta quando allow_url_include ou display_errors é ativado, com o nome do arquivo
- Correções com um clique para allow_url_include, display_errors e expose_php, que o AutoMode também pode aplicar sozinho; cgi.fix_pathinfo e disable_functions só com a sua aprovação, mostrando os arquivos dos sites afetados; para open_basedir e valores que um pool define no próprio arquivo, a linha exata a mudar manualmente
- Cada correção vai num arquivo drop-in próprio do InfraFence, é testada com php-fpm -t, recarregada sem interrupção (nunca reiniciada) e desfeita se um site parar de responder
- No cPanel, Plesk e CloudLinux a configuração do PHP é informada, nunca alterada
E mais
- Proteção de e-mail, bancos de dados e FTP — detecção de força bruta para Postfix, Dovecot, MySQL, PostgreSQL, MongoDB, Pure-FTPd, ProFTPD e vsftpd
- Compatível com Docker — encontra os logs dos containers web e protege as portas publicadas dos containers
- Bloqueio por país pelo painel
- Painéis de hospedagem reconhecidos — cPanel/WHM, Plesk, DirectAdmin, CyberPanel, HestiaCP, Coolify, Easypanel e mais 17; o InfraFence nunca altera uma configuração gerenciada por um painel
- LiteSpeed e OpenLiteSpeed reconhecidos
- As alterações feitas no painel chegam aos servidores em cerca de um segundo
- Modo monitor — detecta tudo, não bloqueia nada
- Métricas do sistema — CPU, memória, disco e rede
- Cada evento explicado em linguagem simples, em 6 idiomas
- Opcional: um endereço banido em um servidor é banido em todos os seus servidores
- Kubernetes — DaemonSet com o chart Helm: uma chave de cluster registra cada nó, e cada nó aparece como um servidor; as atualizações usam imagens assinadas com cosign
- Vulnerabilidades por risco real: primeiro as já exploradas por atacantes (CISA KEV), depois pela probabilidade de exploração (EPSS)
- Análise instantânea de cada incidente — causa provável, risco e o que fazer agora, gratuita e calculada no dashboard; aprofundamento com IA sob demanda
- Rede InfraFence opcional — endereços que atacam vários clientes são sinalizados, e logins SSH incomuns (conta ou país novos) se destacam
- Alertas por e-mail, Slack, Discord, Telegram ou webhook, mais um resumo semanal por e-mail
- Autenticação de dois fatores e registro de atividades de quem mudou o quê
Pro e AutoMode: segurança que age, sem riscos
Encontrar o problema é metade do trabalho. Com o Pro a IA diz o que fazer e você aplica com um clique; com o AutoMode ela faz por você. Sempre dentro de limites rígidos, e sempre com volta atrás.
As aprovações exigem a autenticação de dois fatores: só um proprietário ou administrador que entrou com o código de um app autenticador pode aprovar ou rejeitar, então ative-a antes de contar com o AutoMode.
Só ações seguras e conhecidas
AutoModeO AutoMode escolhe de um catálogo fixo: banimentos, bloqueio de países, correções de hardening (entre elas allow_url_include, display_errors e expose_php do PHP), atualizações de segurança na sua janela de manutenção, fechamento de portas, bloqueios de saída, patches virtuais e varreduras. Nunca executa comandos próprios, nunca bloqueia os seus endereços nem os lugares de onde você acessa, deixa em paz os servidores em modo monitor, e um botão o pausa.
Aprovação com um toque para o que é arriscado
AutoModeUma mudança que poderia deixar alguém sem acesso, a atualização de um pacote crítico, uma porta fora da lista segura: o AutoMode não faz isso por conta própria. Ele pergunta, e você aprova ou recusa com um toque no painel, com autenticação de dois fatores. O link do alerta só abre o pedido, então uma mensagem encaminhada não consegue aprovar nada. Pedidos sem resposta expiram após 24 horas.
Verificado após cada mudança, desfeito se quebrar
Todos os planosDepois de cada mudança num servidor (uma regra de firewall, uma correção de hardening, um patch virtual) o agente verifica se o SSH continua aceitando conexões em cada porta que usa e se cada site monitorado continua respondendo, sem novos erros. Se não, desfaz a mudança sozinho e diz o porquê.
Patches virtuais para vulnerabilidades exploradas
Pro · AutoModeQuando um servidor roda software com uma vulnerabilidade que está sendo explorada ativamente, uma regra ModSecurity específica pode protegê-lo até você instalar a atualização. Nesta versão: Apache com ModSecurity. A configuração é testada antes do reload e revertida se algo falhar.
Feche portas expostas, bloqueie destinos perigosos
Pro · AutoModeUm banco de dados ou serviço de administração (MySQL, PostgreSQL, Redis, MongoDB, Elasticsearch, a API do Docker…) aberto para a internet e sob ataque tem a porta fechada. Um servidor que fala com um endereço malicioso conhecido tem esse destino bloqueado. As portas SSH nunca são fechadas, nem 80/443 enquanto um servidor web as usa, nem uma porta com uma conexão ativa. Tudo pode ser desfeito.
A rede InfraFence, em tempo real
AutoModeQuando duas organizações AutoMode diferentes que compartilham inteligência de ameaças banem o mesmo endereço em até uma hora, cada uma com evidências fortes, todas as organizações AutoMode que compartilham o bloqueiam também, por 6 horas. Nunca mexe na sua lista de permissões, nos endereços que nunca devem ser bloqueados nem nas redes de onde você acessa.
Pergunte ao seu servidor
Pro · AutoModePergunte com as suas palavras: quem tentou entrar ontem à noite, por que um endereço foi banido, o que aconteceu num servidor esta semana. O assistente lê seus eventos, banimentos, incidentes, sessões SSH, varreduras e ações do AutoMode (só leitura) e pode sugerir uma correção que você aplica com um clique. 200 perguntas por dia com o Pro, 500 com o AutoMode.
Rascunhos de relatórios NIS2 e RGPD
Pro · AutoModeA partir de um incidente ou de um período, o InfraFence redige o alerta precoce NIS2 (24 h), a notificação do incidente (72 h) e o relatório final, e a avaliação da violação segundo o artigo 33 do RGPD, no seu idioma, com uma linha do tempo construída a partir dos eventos. São rascunhos para revisar e completar, não aconselhamento jurídico, e nada é enviado a nenhuma autoridade.
Como funciona a notificação NIS2Pontuação de segurança
Todos os planosUma pontuação de 0 a 100 para cada servidor e para a organização: resultados do hardening, vulnerabilidades abertas (as exploradas pesam mais), portas de risco abertas, malware, modo monitor, versão do agente e autenticação de dois fatores. Com a evolução e as 3 correções mais úteis. Todos os planos veem; aplicar as correções com um clique é Pro.
Relatório mensal de valor
Planos pagosNo primeiro dia de cada mês, por email e no painel: ataques bloqueados, banimentos, correções aplicadas, ações e aprovações do AutoMode, como a pontuação mudou e uma estimativa das horas poupadas, com o método de cálculo.
Sob ataque? Um botão vermelho.
Aperte "Estou sob ataque" no painel e nas 24 horas seguintes a IA responde ao ataque sozinha, com o mesmo catálogo seguro e os mesmos limites: bane os atacantes, ativa proteções extras, aplica correções seguras e atualizações urgentes para falhas exploradas. Tudo aparece na atividade, com Desfazer. Duas vezes a cada 30 dias no Basic e no Pro, sempre que precisar com o AutoMode.
Painéis de hospedagem
cPanel & WHM: DisponívelPlesk: Em desenvolvimentoPara empresas de hospedagem, agências e MSPs. Bloqueios, malware encontrado, eventos de segurança e verificação por site no painel que sua equipe já usa, em cada servidor. Sem credenciais guardadas no painel, incluído no Basic, Pro e AutoMode.
- Status da proteção, pontuação de segurança, eventos críticos e o mapa de ataques
- Endereços bloqueados: desbloqueio só neste servidor, ou inclusão na whitelist
- Malware e integridade de arquivos, eventos de segurança recentes
- Coexistência com CSF/lfd, Imunify360, cPHulk, fail2ban, CrowdSec, Plesk Firewall e outros
- Sites e domínios com a cobertura da verificação de malware, e Verificar agora para um site
- Sem credenciais no painel; só root e administrador
cPanel & WHM
DisponívelWHM » Plugins » InfraFence
RPM para AlmaLinux 8, 9, 10 e CloudLinux · .deb para Ubuntu 24.04
Plesk
Em desenvolvimentoPlesk Obsidian 18.0.60 ou posterior, na navegação lateral
Extensão em zip, instalada pelo gerenciador de extensões do Plesk
Mostre aos seus clientes que eles estão protegidos
Coloque o selo “Monitorado pelo InfraFence” no seu site. Ele leva a uma página de transparência pública em infrafence.com com o horário da última verificação, os ataques bloqueados nos últimos 30 dias e as proteções ativas.
- Uma imagem dentro de um link: nenhum script e nenhum cookie no seu site.
- Nunca mostra endereços, ocorrências ou pontuações, e fica cinza neutro quando uma verificação está atrasada.
- Comprovação do monitoramento para seus clientes e para questionários de fornecedores, como os da NIS2.
O que você recebe
| InfraFence | |
|---|---|
| Painel ao vivo para todos os seus servidores | Sim, atualizado em tempo real |
| Instalação | Um comando, com uma verificação somente leitura antes |
| Força bruta SSH | 15 padrões, banimentos progressivos |
| Risco das sessões SSH | Sim, correlacionado com todos os outros detectores |
| Web application firewall | 15 tipos de ataque, editáveis pelo painel |
| Bots | ~1.500 reconhecidos; permitir, registrar ou bloquear por categoria ou bot |
| Malware | Assinaturas + YARA, com quarentena e ignorar |
| Integridade de arquivos e persistência | No sistema inteiro |
| Ameaças de saída e DNS | DNS inspecionado pacote por pacote, ligado ao programa |
| Docker | Sim: logs dos containers e portas publicadas |
| Kubernetes | DaemonSet Helm, um servidor por nó |
| Alertas | E-mail, Slack, Discord, Telegram, webhooks |
| Análise de incidentes | Instantânea e gratuita, IA sob demanda |
| Modo monitor (só detecção) | Sim |
| Correções aplicadas por você | AutoMode: catálogo fixo, aprovações, verificação, com Desfazer |
| Vulnerabilidades exploradas | Patches virtuais até você atualizar (Apache + ModSecurity) |
| Relatórios de incidentes | Rascunhos NIS2 e RGPD para revisar |
| Desinstalação | Remove tudo o que adicionou |
| Preço | €8,90/servidor/mês, 1 servidor grátis |
Segurança e confiança
Usar este agente significa dar a ele acesso privilegiado ao seu servidor — é um pedido sério, e não o tratamos com leviandade. Veja exatamente o que sustenta essa confiança em produção:
- Código-fonte disponível e auditável
- O agente está licenciado sob a BSL 1.1. É 100% gratuito para uso interno em produção, totalmente transparente, e pode auditar cada linha antes de instalar.
- Verifica antes de alterar
- Uma varredura somente leitura do servidor roda antes da instalação e todos os dias. Alterações no servidor web e o bloqueio por listas de ameaças ficam desligados até você ativá-los, e nunca acontecem onde um painel de hospedagem gerencia a configuração.
- O que ele lê
- Para detectar ameaças ele lê os logs do sistema e do servidor web, os arquivos dos sites para a varredura de malware (incluindo .env e arquivos de configuração), posts e usuários do WordPress para a varredura do WordPress, e o tráfego DNS e as conexões de rede do servidor.
- O que ele envia
- Somente eventos de segurança: IP do atacante, tipo, horário e os detalhes necessários para entendê-los — para um ataque web a única linha de log que o disparou, para um malware o caminho do arquivo e o texto encontrado. Logs e arquivos completos nunca saem do seu servidor. Sem telemetria. Nada é compartilhado com terceiros, exceto para as funções de IA: quando você pede uma análise, usa o assistente ou prepara um relatório, e enquanto o AutoMode ou o modo de emergência estão ativos, os eventos necessários são enviados à Anthropic para gerar a resposta.
- Cadeia de firewall dedicada
- Todas as suas regras ficam nas próprias cadeias INFRAFENCE, restauradas automaticamente se outra ferramenta as remover. Suas regras existentes nunca são alteradas.
- Binários assinados
- Cada release é compilado pela CI do GitHub Actions com assinaturas Cosign e atestado de procedência da build.
- Modo monitor
- Detecta tudo, não bloqueia nada — ative a proteção quando estiver pronto.
- Desinstalação limpa
- Um comando remove o agente e tudo o que ele adicionou: cadeias de firewall, alterações no servidor web e o serviço.