InfraGuard-Handbuch — InfraGuard

Erste Schritte

Erste Schritte mit InfraGuardWas InfraGuard ist, welche Probleme es löst und wie Sie dieses Handbuch nutzen — in fünf Minuten.
In diesem Handbuch suchenFinden Sie Antworten sofort — mit der Suche samt Autovervollständigung und der Befehlspalette ⌘K.
Anmeldung und AuthentifizierungWie die Sitzungsanmeldung an der Konsole funktioniert, wie sich die Sitzung bei jeder Anfrage neu abgleicht und wie sich die externe Ingest-API authentifiziert.
Zugriffsstufen (demo · staff · admin)InfraGuards einziges Zugriffsmodell: die Ganzzahl user_level mit dem min_req der jeweiligen Seite vergleichen.
Rollen, Teams und VerantwortlicheRollen und Teams sind reine Informationsbezeichnungen — allein die Stufe öffnet den Zugriff — dazu die kombinierte Verantwortlich-Auswahl aus Benutzern und Teams.
Navigation · Rollenorientiertes MenüDas rollenorientierte, datenbankgesteuerte Menü von InfraGuard (infr_sitemap + min_req) — die 8 Rollenbereiche und warum die Rollengrenze zugleich die Berechtigungsgrenze ist.
Helles / dunkles DesignSchaltet die Konsole zwischen Hell und Dunkel um — ein einziges data-theme-Attribut am Wurzelelement, in localStorage (infr-theme) gespeichert, eine Schaltfläche in der Kopfleiste und sämtliche Farben als --infr-*-CSS-Variablen-Token.
Sprache wechseln · LokalisierungSo ändern Sie die Anzeigesprache der InfraGuard-Konsole — 8 Sprachen, die vom Administrator gewählte aktivierte Teilmenge und die Auflösungsregel Sitzung→Cookie→Profil→Standard der Website.
Live-Aktualisierung (Reverb + Polling)Die zwei Wege, auf denen sich Bildschirme selbst aktualisieren — sofortige Pushes über das Reverb-WebSocket und schlankes 30-Sekunden-Polling mit einem billigen rev-Änderungstoken — und warum die Konsole nie kaputtgeht, wenn WebSockets abgeschaltet sind.
Die Startseite Übersicht lesenDie konvergente Startkonsole, die zusammengesetzte Verfügbarkeits- und Sicherheitsbewertungen, KPI-Karten, einen Erkennungs-Donut und Live-Serverstreifen über die volle Breite auf einem Bildschirm zusammenführt.
Mein ProfilSehen Sie die Daten Ihres eigenen Kontos ein und ändern Sie Ihr Passwort selbst — eine Selbstbedienungsseite.
Öffentliche Landingpage, Demo-Anfragen und Analyse-TagsDie Oberflächen, die sich ohne Anmeldung öffnen (Landingpage, Demo-Formular, Benutzerhandbuch), die GA4/GTM-Tags, die deren Besucher messen, und der Verwaltungsbildschirm, der die eingehenden Demo-Anfragen bearbeitet.

DBA

Service ▸ DatenbankVerbindet sich direkt mit registrierten Datenbanken und überwacht mit SHOW GLOBAL STATUS + information_schema die Live-Last (Nebenläufigkeit, Durchsatz) sowie die Schemastruktur.
DB-Tuning-Konzepte — Sperren, Cache, Index, Checkpoint, SpeicherFasst die DB-Performance-Konzepte zusammen, die die didaktischen Hover-Popover auf der Seite Service ▸ Datenbank vermitteln (7 Ursachen für Zeilensperren-Wartezeit, Cache-Treffer im Buffer Pool, Indexnutzung, Checkpoint-/Redo-Druck, Dirty-Page-Flush).
Sitzungen (Redis)Überwachen Sie den Zustand des Redis-Sitzungs- und Cache-Speichers je Knoten (Kapazität, Durchsatz, Trefferquote, Speicherverwaltung, Keyspace) — gelesen aus einem vom Collector befüllten Read-Model, ohne direkte Redis-Verbindung.
Redis-Tuning-Konzepte (Sitzungs-Schulung)Wie Sie die Redis-Kennzahlen auf Service ▸ Sitzungen (Redis) lesen — die 7 Slowlog-Ursachen, die Trefferquote, das gesunde Band der Speicherfragmentierung sowie Ablauf gegenüber Verdrängung.
Einen Datenbank-Collector registrierenRegistrieren Sie einen access=database-Collector als je Host eigene db@alias-Zeilen, um Service ▸ Datenbank und die Alarme zu speisen — das Passwort wird mit Crypt gespeichert oder über cred_ref=env:PREFIX wiederverwendet.

DevOps

Infrastruktur-ZustandsboardLive-Verfügbarkeitsboard, das Last, CPU, Arbeitsspeicher und Festplatte je Knoten sowie den Dienststatus von nginx/php/mysql/mongo auf einem Bildschirm zeigt.
Server (Last-Zeitreihen)Last, CPU und Arbeitsspeicher je Server als Ringanzeigen sowie Zeitreihen-Diagramme im Bildschirm Infrastruktur ▸ Server.
Speicher und RAIDSchreibgeschütztes Live-Dashboard für den Zustand des RAID-Controllers (Optimal/Degraded/Failed), eine physische Datenträgerkarte und die Auslastung des Datenvolumes je Host.
Port-Verbindungen (PORT OVERVIEW)Der zentrale Bildschirm zur Portüberwachung: Karten je Port mit der Verteilung der TCP-Zustände pro Server, den häufigsten Quell-IPs und der Anzahl der Quellen – live.
IP-VerbindungenHost-Sicht auf die entfernten Gegenstellen-IPs je Server als Port-Stärkepunkte, mit einem IP-Untersuchungs-Pop-up für Verbindungsaufschlüsselung, Rollup-Historie, Geo/ASN, Reputation und einen Sperr-Deeplink.
Traffic (Netzwerk-E/A)Stellt den ein- und ausgehenden Byte- und Paketdurchsatz je Server aus server_traffic als ECharts-Liniendiagramme dar — Daten, die die Alt-Konsole zwar erfasst, aber nie angezeigt hat.
AlarmeErstellen Sie Alarmgruppen-Richtlinien, die System-, Web-, DB- und Sicherheitsbedingungen bündeln; bei einer Überschreitung benachrichtigen sie die Empfänger automatisch per SMS und E-Mail.
Service-Übersicht — kuratierte Live-TafelEine kuratierte Live-Diensttafel, auf der Betreiber Dienste (Web, Datenbank, Sitzung, Proxy, Docker) als Prioritätskarten auswählen und sie über eine Verfügbarkeitsanzeige sowie Live-Zeitreihen beobachten.
Webdienste (nginx-vts)Live-Überwachung jeder Website mit nginx-vts samt Website-Verwaltung, mit 24-h-Verfügbarkeit aus einer aktiven synthetischen Sonde und Ablauf der TLS-Zertifikate.
Besucher- und SucheinblickeLesen Sie die GA4-Besucheranalyse und den Search-Console-Suchverkehr direkt von der Karte einer Website aus — über ein Dienstkonto, das je Website zusammen mit ihrer Property-Zuordnung hinterlegt ist.
ServicekatalogEine Konsole mit zwei Registerkarten, die Dienste vom Typ Daemon aus dem Versionsverzeichnis ableitet, ihre Erreichbarkeit prüft und ihre Abhängigkeiten abbildet.
Projekte (Service ▸ Projekte)Ein gemeinsames Register für Projekt-Metadaten — erfassen Sie Quellcode (GitHub), CI/CD (Jenkins), Web-/DB-Verknüpfungen, Backup-Ziele und Verweise auf Geheimnisse (es ist kein Deployment-Werkzeug).
Problemlösung (Vorfallfälle)Ein Workflow für Vorfallfälle, der Ausfälle und Fehler über Erfassung -> in Untersuchung -> Ursache identifiziert -> gelöst -> geschlossen verfolgt und dabei direkte Ursache, Grundursache, Behebung und vorbeugende Maßnahme festhält.
Zeitplan-Board für SicherungenSehen Sie Zeitplan, Speicherort und nächsten Lauf jedes Sicherungsauftrags an einer Stelle — mit Kennzahlen und Verlauf.
SicherungsskripteDas Verzeichnis der erzeugten Sicherungsskripte und ihrer crontab-Zeilen — erzeugen, den Code fertigstellen, dann einschalten.
Generator für SicherungsskripteEin Gerüst aus dem Ziel vorbelegen, das Skript selbst fertigstellen und es dann einschalten, damit es nach Zeitplan läuft.
Backup-TresoreSpeicherziele für Backups verwalten – belegte Größe, Kapazität und Auslagerung (3-2-1) je Tresor.
Wiederherstellung und PrüfungAus Wiederherstellungspunkten zurückspielen und die Integrität prüfen – die Resilienz-Hälfte des Backups.
Anbindung der SicherungsrückmeldungEin ausgebrachtes Sicherungsskript sendet sein Laufergebnis per POST an den Rückmeldungsaufruf, der es in infr_backup_run festhält.
Inventar („Hosentasche“)Ein Ort für Ressourcen zur schnellen Reaktion — Werkzeuge, Snippets, Leitfäden und geteilte Team-Schlüssel —, zu denen System-, Sicherheits- und Betriebspersonal im Störungsfall greift.
Instanzen — CMDB der per SSH erreichbaren BetriebssysteminstanzenDie CMDB der per SSH erreichbaren Betriebssysteminstanzen (infr_instance); der Alias ist der kanonische Verknüpfungsschlüssel zu den Live-Kennzahlen.
Interaktives SSH-PTY-TerminalEine echte Shell im Browser (top/vi/sudo funktionieren): xterm.js ⇄ WebSocket ⇄ eine ssh2-Brücke in Node ⇄ der entfernte sshd.
Softwareversions-RegisterEin Register der je Instanz installierten Softwareversionen (infr_software_catalog + infr_instance_software), per manueller Eingabe oder JSON-Import.
Env-Variablen je InstanzUmgebungsvariablen je Instanz (mit Crypt verschlüsselt), die die {{PLACEHOLDER}}-Mashups der Inventory Tools speisen.
Momentaufnahme der ServerparameterEine schreibgeschützte Momentaufnahme der Web-/DB-/Kernel-/Anwendungs-/Sonstiges-Einstellungen einer Instanz, als Grundlage für KI-Tuning-Anfragen.
Firewall-Regelverzeichnis (Instanz)Firewall-Regeln je Instanz (iptables/firewalld/ufw) per Sonde erfassen und katalogisieren; sie speisen die Angriffsflächenkarte unter Sicherheit ▸ Firewall.
Fernemulation · Sonden ausbringenSonden über das tlx.php-HTTP-Relais (ohne SSH) auf entfernten Hosts ausbringen und ausführen und die Ergebnisse auf Assets anwenden — signaturgeschützt.
Hardware-Assets (CMDB)Eine CMDB für physische Hardware aus Server-, Netzwerk- und Bürobereich — Komponenten, Portzuordnung, Topologie und Rackposition.
Speicher und DateienVerwalten Sie in zwei Registerkarten das Asset-Verzeichnis der Speichergeräte und einen semantischen Baum von Dateibereichen — eine Asset-Sicht, kein Live-Status.
CollectorsEin nach Zugriffsmethode (web·database·agent) abstrahiertes Collector-Register — es lagert fest einprogrammierte Konstanten aus und speist Zustand und Datenbank.
BetriebsrichtlinieGlobale Festlegungen, die in infr_setting(group=ops) gespeichert und über OpsPolicy gelesen werden — Erfassungsmodus, Schwellenwerte, Währung, überwachte Ports, interne Netze, Schalter für die automatische Sperrung.
API-SchlüsselStellen Sie API-Schlüssel aus, damit externe Anwendungen und Hosts Fehler (Vorfälle) und Ergebnisse von Sicherheitsprüfungen automatisch melden können — samt Integrationscode zum Kopieren und Einfügen.
Regeln und SchwellenwerteSpeichert die Konstanten der Erkennungs-Collectors srct_tx/kts_tx in infr_setting(group=rules), liest sie über RulesPolicy und injiziert sie in die Codegenerierung der Tools.
Reputations-APIRegistrieren Sie mehrere AbuseIPDB-API-Schlüssel und verbrauchen Sie sie reihum — Bündelung des kostenlosen Kontingents plus automatischer Wechsel zum nächsten Schlüssel.
KI-AdapterMehrere LLM-Anbieter registrieren und nach Priorität auswählen – genutzt vom KI-Entwurf von Dokumenten in Inventory.
E-Mail-AdapterMehrere Anbieter für den E-Mail-Versand registrieren – speist den E-Mail-Kanal des Alarmversands.
SMS-AdapterMehrere SMS-Anbieter nach Herkunftsland registrieren – speist den SMS-Kanal des Alarmversands.
LokalisierungWählen Sie aus dem Katalog von 8 Sprachen die tatsächlich angezeigte Teilmenge und legen Sie durch die Reihenfolge die Standardsprache der Website fest.
Benutzer und Rollen / TeamsCRUD für Benutzer und Teams in InfraGuards eigener Auth-Tabelle (infr_user) samt Verwaltung der Level (demo/staff/admin).
Audit-ProtokollDurchsuchen Sie die unveränderliche Audit-Spur (infr_audit_log) destruktiver und sicherheitsrelevanter Aktionen mit Filtern, Facetten und Kennzahlen.
Entwicklung · ObservabilityEin nur für super_admin zugänglicher Observability-Bereich — Doctor, Pulse/Horizon, Leader und Laufzeit, langsame Abfragen/Anfragen/Jobs, Ausnahmen und Cache.

Sicherheit

Sicherheitsübersicht (Abwehr-Funnel)Das Herzstück des Sicherheitsbetriebs: ein Funnel, der Bedrohung, Erkennung, Regelsatz der automatischen Reaktion und Sperrung verbindet und so die Geschichte der automatisierten Abwehr erzählt.
Bedrohungen — IDS-BedrohungstriageTriagieren Sie Suricata-IDS-Alarme als Quell-IP-Entitäten — mit Verknüpfungs-Badges zur automatischen Sperrung und Signaturerläuterungen, die erklären, was jede Erkennung wirklich bedeutet.
Erkennungen + Regelsätze für JA3-SequenzenDer Flaggschiff-Bildschirm der Erkennung — erläutert die Erkennungs-Engines (Kitsune, srct, nginx, JA3) und leitet mit einer deterministischen Heuristik Anomalie-Regelsätze aus JA3-Sequenzen ab (infr_sec_ruleset).
Erkennungs-RegelsätzeEin schreibgeschützter Katalog, der jede von InfraGuard beobachtete Erkennungsregel zu 44 Regelsätzen in 11 Kategorien normalisiert und dabei laufende Auslösezähler sowie – per Klick – die zuletzt von jedem Regelsatz erfassten Ereignisse anzeigt.
Firewall (Angriffsfläche)Eine Expositionskarte, die die Firewall-Regeln jedes Hosts mit den registrierten Diensten abgleicht und jeden offenen Port nach Risiko einfärbt.
Sperrliste und ReputationErzählt die Geschichte der Tabelle blacklist_info (/24-Bereichssperren), die die automatische KI-/IDS-Verteidigung füllt, und lässt Betreiber Bereiche direkt sperren, aufheben und erneut sperren.
Whitelist (Sperrausnahme)Verwalten Sie IPs/CIDRs, die vom automatischen Sperren ausgenommen sind, mit einem Ablaufmodell (dauerhaft/befristet), das srct_tx unmittelbar vor dem Sperren auswertet.
SicherheitsdiagnoseFühren Sie Rootkit- und Härtungs-Scans über viele Server gleichzeitig aus, bewerten Sie jeden Host mit A–F und lassen Sie kritische Fehlschläge automatisch zu Fällen der Problemlösung hochstufen.
Sicherheits-ProblemlösungEin Fall-Board, das Sicherheitsvorfälle und Kompromittierungen durch den Ablauf offen→in Analyse→Ursache→gelöst→abgeschlossen führt und kritische Befunde, die aus der Sicherheitsdiagnose hochgestuft wurden, automatisch nachverfolgt.
IP-Reputationsabfrage (AbuseIPDB)Klicken Sie auf eine beliebige verdächtige IP, um die Bedrohungsdaten von AbuseIPDB in einem In-App-Pop-up abzurufen — Konfidenzanzeige, Meldungen, Kategorien, Tor/Whitelist, mit einem 1-Stunden-Cache, der Ihr kostenloses Kontingent schont.
Auto-Block-PipelineDer Abwehrablauf im Hintergrund, bei dem Collectors und der Scheduler angreifende IPs, die konfigurierbare Auslöser erfüllen, automatisch listen und über das Kernel-ipset durchsetzen.