15 sencillos consejos para asegurar un servidor cPanel

La seguridad de los servidores es un tema complejo y multifacético que puede llevar años comprender y dominar por completo.

La mayoría de los administradores deben desarrollar e implementar diligentemente una amplia gama de medidas de seguridad en sus servidores para evitar ataques e infracciones.

Las medidas de seguridad en cuestión pueden ser tan simples como exigir contraseñas más seguras y tan complejas como implementar protocolos de cifrado actualizados para los datos almacenados.

Afortunadamente, sin embargo, la seguridad del servidor cPanel cae más hacia el extremo "Simple" del espectro de seguridad del servidor.

Aquí hay 15 formas fáciles de mejorar significativamente la seguridad de su servidor en solo unos minutos.

1. Asegurar SSH

Aunque SSH es un protocolo encriptado, no es impermeable. Lo que significa que, como administrador, debe ejercer la debida diligencia durante la configuración.

Aquí hay tres pasos simples para aumentar la seguridad de su SSH.

1.Cambiar puerto SSH

Mantener SSH en el puerto predeterminado 22 lo hace vulnerable a los ataques de fuerza bruta. Para evitar estos ataques, debe seleccionar un puerto aleatorio para SSH para que sea más difícil para los posibles atacantes discernir su ubicación.

Estos son los pasos para cambiar el puerto SSH.

1. Inicie sesión en su servidor a través de SSH.
2. Edite el archivo de configuración de SSH que se encuentra en /etc/ssh/sshd_config emitiendo el siguiente comando:
   nano /etc/ssh/sshd_config
3. Establezca un puerto aleatorio para la conexión SSH en la siguiente línea. Original: Puerto 22
   Nueva línea: Puerto 2468
4. Ahora, reinicie el servicio SSH ejecutando el siguiente comando:
   reiniciar servicio sshd

2.Deshabilitar inicio de sesión raíz

Para agregar una capa adicional de seguridad y fortalecer aún más su SSH, puede deshabilitar el usuario raíz y crear un usuario separado para acceder al servidor.

Aquí es cómo:

1. Inicie sesión en su servidor a través de SSH. Antes de deshabilitar el inicio de sesión de root, crearemos un usuario para acceder al servidor:
   adduser nuevo_nombre_de_usuario_nombre
   contraseña nuevo_nombre_de_usuario_nombre
2. Se le pedirá que establezca una contraseña para este nuevo usuario. Asegúrese de que la contraseña sea lo más segura posible (al menos 10 caracteres con varios números y símbolos) y luego agregue el nuevo usuario en un grupo de rueda otorgándole acceso al servidor usando la siguiente línea de código.
   # usermod -aG rueda nuevo_nombre_usuario_nombre
3. Ahora, deshabilite el usuario root. Edite el archivo de configuración de SSH que se encuentra en /etc/ssh/sshd_config .
   nano /etc/ssh/sshd_config
4. Cambie la línea: "PermitRootLogin sí" a "PermitRootLogin no"
5. Ahora, reinicie el servicio SSH ejecutando el siguiente comando.
   reiniciar servicio sshd

3. Deshabilitar SSH V1

Con el inicio de SSHv2 haciendo que su predecesor SSHv1 sea casi obsoleto, se recomienda encarecidamente que deshabilite el SSH menos seguro y desactualizado para mejorar la seguridad de su servidor.

1. Inicie sesión en su servidor a través de SSH y edite el archivo de configuración de SSH que se encuentra en /etc/ssh/sshd_config .
2. Descomente la siguiente línea.
   Protocolo 2,1
3. Y cambiarlo a:
   Protocolo 2
4. Ahora, reinicie el servicio SSH ejecutando el siguiente comando:
   # servicio sshd reiniciar

2. Activación de la protección cPHulk

Un ataque de fuerza bruta es un método de piratería que se basa en un sistema automatizado para adivinar la contraseña de su servidor web.

cPHulk es un servicio fácil de usar que protegerá su servidor contra la mayoría de los ataques de fuerza bruta.

Para habilitar cPHulk, inicie sesión en WHM→ Security Center → cPHulk Brute Force Protection y haga clic en Habilitar .

Ahora puede establecer reglas personalizadas basadas en el nombre de usuario de cPanel, la dirección IP y otros parámetros.

Una vez que se alcanza un número determinado de intentos fallidos de inicio de sesión, cPHulk bloqueará cualquier otro intento desde la dirección IP que se está utilizando.

Nota: Si tiene una IP estática, se recomienda encarecidamente que la agregue a la Administración de la lista blanca para que no se quede fuera de su servidor.

3. Configurar el cortafuegos del servidor de configuración (CSF)

CSF (ConfigServer Security and Firewall) es uno de los firewalls más populares para servidores cPanel.

No solo actúa como un cortafuegos al escanear varios archivos de registro de autenticación, sino que también escanea su servidor regularmente y le brinda recomendaciones personalizadas para mejorar la seguridad de su servidor.

Además de sus funciones principales, CSF también le brinda acceso a una serie de funciones útiles como "Ver registros del sistema", registros de IPTable, estadísticas IFD y mucho más.

Instalación del cortafuegos del servidor de configuración

Es bastante fácil instalar CSF en su servidor con cPanel. Consulte nuestra guía paso a paso sobre cómo instalar ConfigServer Firewall en cPanel/WHM.

Una vez que haya seguido las instrucciones de nuestra guía antes mencionada, puede administrar CSF directamente desde WHM.

Para hacerlo, inicie sesión en su WHM, vaya a Complementos → ConfigServer Security & Firewall.

Aquí se le presentará una serie de opciones y medidas que puede utilizar para reforzar aún más su seguridad.

4. Configurar el antivirus ClamAV

Si bien los servidores Linux tienen una resiliencia más "natural" a los virus que sus contrapartes basados ​​en Windows, aún se considera conveniente instalar una aplicación antivirus adicional.

ClamAV, que es fácil de instalar como un complemento en su servidor, es uno de los complementos antivirus de código abierto más populares para servidores cPanel y permite a los usuarios individuales escanear su directorio de inicio y correos electrónicos en busca de archivos potencialmente maliciosos.

Nuevamente, en aras de la brevedad, consulte nuestra guía paso a paso Cómo instalar el complemento ClamAV desde WHM .

Una vez que se instala ClamAV, puede escanear cualquier cuenta de cPanel en particular con acceso de nivel de usuario de cPanel. Aquí está nuestra guía sobre cómo ejecutar el análisis de virus ClamAV desde cPanel .

5. Cambia a CloudLinux

CloudLinux, un reemplazo pago del CentOS gratuito, se considera uno de los sistemas operativos más seguros para servidores cPanel.

Con CloudLinux, puede aumentar la densidad y la estabilidad del servidor al mantener las cuentas de cPanel aisladas entre sí.

Logra esta hazaña mediante el uso de LVE (entorno virtualizado ligero) que limita los recursos del servidor como el procesamiento, la memoria y las conexiones para cada usuario, lo que garantiza que un solo usuario no pueda poner en riesgo la estabilidad del servidor y hacer que todos los sitios se ralenticen.

El sistema operativo "enjaula" a los usuarios entre sí para evitar cualquier brecha de seguridad. Cualquier script o malware inestable o comprometido no puede propagarse a través del servidor por ninguna cuenta comprometida.

Las siguientes son las principales funciones de seguridad del sistema operativo CloudLinux:

1. JaulaFS
2. PHP endurecido
3. Enlaces seguros

JaulaFS

CageFS encapsula a cada usuario, evitando que los usuarios se vean entre sí y lean información confidencial. También evita una gran cantidad de ataques, incluida la mayoría de los ataques de escalada de privilegios y divulgación de información.

→ Con CageFS, los usuarios solo tendrán acceso a archivos seguros.
→ Los usuarios no pueden ver los archivos de configuración del servidor, como los archivos de configuración de Apache.
→ Los usuarios no pueden ver a otros usuarios y no tienen forma de detectar la presencia de otros usuarios.
→ Los usuarios no pueden ver los procesos de otros usuarios.

PHP endurecido

Las versiones antiguas de PHP 5.2, 5.3, 5.4, si bien se usan ampliamente, tienen vulnerabilidades que la comunidad de PHP.net no corrige.
HardenedPHP en CloudLinux corrige esas vulnerabilidades y protege las versiones antiguas y no compatibles.

→ Asegura que la aplicación y el servidor estén protegidos parcheando todas las versiones de PHP.
→ Brinda seguridad y flexibilidad a todos los usuarios.
→ Aumenta la retención de clientes al no forzar actualizaciones a una versión más nueva de PHP
→ Ofrece la selección de la versión de PHP de múltiples versiones instaladas en el mismo servidor web con la opción de selector de PHP

Enlaces seguros

SecureLinks es una tecnología de nivel de kernel que fortalece el servidor al prevenir todos los ataques conocidos de enlace simbólico (enlace simbólico) y, al mismo tiempo, evita que los usuarios malintencionados creen archivos de enlace simbólico.
→ Con SecureLinks, puede evitar ataques evitando que los usuarios maliciosos creen enlaces simbólicos y enlaces físicos a archivos que no son de su propiedad.
→ Evita que usuarios malintencionados creen archivos de enlaces simbólicos.
→ Mejora el nivel de seguridad del servidor frente a ataques de enlaces simbólicos.

6. Desactivar solicitud de ping

Un ping es una solicitud ICMP (Protocolo de mensajes de control de Internet), y debe desactivarse para evitar ataques de "Ping of Death" y "Ping Flood".

Ping de la muerte

Ping of Death es un ataque de denegación de servicio causado por un atacante que envía deliberadamente un paquete IP más grande que lo permitido por el protocolo IP.

Como resultado, muchos sistemas operativos no saben qué hacer cuando reciben paquetes de gran tamaño, la máquina se congela, falla o se reinicia.

Inundación de ping

Ping Flood es un simple ataque de denegación de servicio en el que el atacante abruma a la víctima con los paquetes ICMP con la esperanza de que la víctima responda con la respuesta ICMP empaquetada, consumiendo así el ancho de banda entrante y saliente.

Si la máquina de destino es más lenta, es posible que consuma sus ciclos de CPU creando una desaceleración notable en las capacidades de procesamiento del sistema.

Para deshabilitar la respuesta de ping, ejecute el siguiente comando como usuario raíz:
eco “1” > /proc/sys/net/ipv4/icmp_echo_ignore_all
eco “1” > /proc/sys/net/ipv4/icmp_echo_ignore_all
Para deshabilitar la respuesta de ping usando el firewall de IPtables, ejecute el siguiente comando como usuario raíz:
iptables -A ENTRADA -p icmp -j DROP

7. Configurar el control de acceso al host

En ciertos casos, es posible que desee permitir servicios específicos a una sola IP. Para lograr este objetivo, todo lo que necesita hacer es configurar correctamente su Host Access Control, que le permite crear reglas para aprobar o denegar el acceso al servidor según la dirección IP del usuario.

Negar todas las conexiones y solo permitir las conexiones que desea realizar es la práctica más segura para aumentar la seguridad de su servidor contra ataques de fuerza bruta en puertos específicos.

Para configurar una regla con Host Access Control, necesitará tres cosas.

1. El servicio para el que desea crear una regla
2. La dirección IP para la que desea permitir o denegar privilegios
3. Y la acción que desea que se realice (por ejemplo, Permitir o Denegar)

Para configurar reglas en Host Access Control, inicie sesión en su WHM, vaya a Security Center → Host Access Control .

El siguiente es un ejemplo de bloqueo del servicio SSH:

Nota: Las reglas tienen un orden de precedencia. Tendrá que poner las reglas de 'permitir' antes de las reglas de 'denegar' si elige usar la técnica de permitir de unos pocos y luego denegar de todos.

8. Configurar Mod_Seguridad

En 2017, más del 70 % de todos los ataques maliciosos a servidores se ejecutaron a nivel de aplicaciones web.
Para mitigar el riesgo asociado con su servidor específico, es una mejor práctica de la industria implementar un WAF o Firewall de aplicaciones web para aumentar la seguridad externa y detectar/prevenir ataques antes de que lleguen a las aplicaciones web.

ModSecurity es uno de los firewalls de aplicaciones web más antiguos y populares y está diseñado para evitar:

1. Inyección SQL
2. Ataques iFrame
3. Webshell/detección de puerta trasera
4. Detección de ataques de botnets
5. Ataques de denegación de servicio (DoS) HTTP

La instalación de mod_security se puede realizar en unos minutos con pocos cambios en la infraestructura existente.

Puede habilitarlo desde la configuración de Easy Apache.

Para crear reglas de Mod_Security, vaya a Herramientas de ModSeurity y haga clic en Lista de reglas.

En las nuevas ventanas, mostrará todas las reglas. Puede hacer clic en Agregar regla para crear nuevas reglas. Tenga en cuenta que deberá reiniciar Apache para implementar nuevas reglas.

Para saber más sobre las herramientas de ModSecurity, haga clic aquí.

9. Escanee su sistema con RootKit Hunter

Rootkit Hunter o rkhunter es una herramienta basada en UNIX que busca rootkits, puertas traseras y posibles vulnerabilidades locales.

Compara hashes SHA-1 de archivos importantes con los archivos ubicados en bases de datos en línea para garantizar la integridad de los archivos.

También busca directorios de rootkits predeterminados, permisos excesivos, archivos ocultos, cadenas sospechosas en los módulos del kernel y muchas otras cosas que tienen el potencial de comprometer la seguridad de su servidor.

Instalación de RootKit Hunter

Cambie el directorio de trabajo actual al directorio de instalación deseado.
cd /usr/local/src
Descargue el paquete rkhunter usando el comando wget.
wget http://dfn.dl.sourceforge.net/sourceforge/rkhunter/rkhunter-1.4.2.tar.gz
Descomprima el archivo rkhunter descargado.
tar -zxvf rkhunter-1.4.2.tar.gz
Cambie el directorio de trabajo actual al directorio rkhunter. Asegúrese de reemplazar el nombre del directorio con el nombre del directorio real. En nuestro caso, es "rkhunter-1.4.2", que se puede cambiar cuando se lanzan nuevas actualizaciones.
CD rkhunter-1.4.2
Instale el paquete rkhunter ejecutando el script de instalación.
./installer.sh –diseño predeterminado –instalar
Esto instalará la herramienta rkhuter en el servidor.

Configuración de rkhunter

Puede encontrar el archivo de configuración de rkhunter en la ruta /etc/rkhunter.conf . Al cambiar los valores de los parámetros en este archivo, podemos modificar las propiedades de rkhunter para asegurar el servidor. Para permitir el inicio de sesión raíz a través de SSH
ALLOW_SSH_ROOT_USER = sí
directorio de instalación de rkhunter
INSTALLDIR=/ruta/de/instalación/directorio
Directorio de la base de datos de rkhunter
DBDIR=/var/lib/rkhunter/db
directorio de secuencias de comandos rkhunter
SCRIPTDIR=/usr/local/lib64/rkhunter/scripts
directorio temporal de rkhunter
TMPDIR=/var/lib/rkhunter/tmp

Escaneo manual con rkhunter

Para ejecutar un escaneo manual con rkhunter, ejecute el siguiente comando.
/usr/local/bin/rkhunter-c
Por defecto, rkhunter se ejecuta en modo interactivo. rkhunter realiza una serie de escaneos y después de cada conjunto de escaneos, deberá presionar Enter para continuar con el escaneo.

Para omitir la ejecución del modo interactivo y escanear todo el conjunto, use el siguiente comando. Tenga en cuenta que -c es para verificar el sistema local y -sk es para omitir la pulsación de teclas.
/usr/local/bin/rkhunter -c -sk
Para escanear todo el sistema de archivos, ejecute el siguiente comando.
rkhunter-cheque

Programación de escaneos automáticos con Rkhunter

Para crear un análisis automático programado, cree un script que ejecute el análisis de rkhunter y envíe por correo electrónico los resultados del análisis.

Si desea ejecutar el análisis de rkhunter a diario, cargue el script en el directorio /etc/cron.daily y en /etc/cron.weekly para los análisis semanales.

Abra un archivo en un editor y escriba el siguiente script para programarlo diariamente.
vi /etc/cron.daily/rkhunter.sh
Script para programar escaneo diario

#!/bin/sh

(

/usr/local/bin/rkhunter --versioncheck

/usr/local/bin/rkhunter --update

/usr/local/bin/rkhunter --cronjob --report-warnings-only

) | /bin/mail -s 'rkhunter Daily Run (HostnameOfServer)' youremail@address

Nota: asegúrese de cambiar el nombre de host del servidor y su dirección de correo electrónico con el nombre de host del servidor real y la dirección de correo electrónico a la que se enviarán las notificaciones en el script.

Actualización y opciones de rkhunter

Para comprobar la versión actual de rkhunter.
/usr/local/bin/rkhunter –control de versión
Para actualizar la versión de rkhunter.
/usr/local/bin/rkhunter –actualización
Si los archivos de la base de datos están actualizados, para verificar y guardar los valores y propiedades actualizados.
/usr/local/bin/rkhunter –propupd
Los registros de rkhunter almacenan todas las actividades realizadas y los errores encontrados por la aplicación. Para comprobar los registros de rkhunter.
/var/log/rkhunter.log
Puede consultar las otras opciones de rkhunter con.
/usr/local/bin/rkhunter –ayuda

10. Escanee su sistema con Maldet

Maldet, también conocido como Linux Malware Detect (LMD), es un escáner de malware para sistemas Linux que está diseñado para detectar de manera efectiva puertas traseras de php, correo oscuro y una serie de otros archivos maliciosos que pueden estar presentes en sitios web comprometidos.

Instalación de Maldet

1. SSH al servidor y descargue el archivo tar.
   wget href=”http://www.rfxn.com/downloads/maldetect-current.tar.gz”>
2. Extraiga el archivo.
   tar -xzf maldetect-actual.tar.gz
3. Ve a la carpeta maldet.
   cd maldetect-*
4. Para instalar maldet, ejecute el siguiente comando.
   sh ./instalar.sh

Usar Maldet en el servidor Linux

Siempre debe abrir una nueva sesión de pantalla y ejecutar el escaneo, ya que puede llevar horas escanear dependiendo del uso del espacio en disco de su sistema. Para ejecutar un escaneo, use el siguiente comando.
maldet -a /ruta/a/escanear O

maldet –escanear-todo /ruta/hacia/escanear
También puede simplemente ejecutar el siguiente comando para escanear todo el sistema
maldet-a/
Una vez que se complete el escaneo del servidor, obtendrá SCAN ID al final. Para ver el informe escaneado, use el siguiente comando. Tenga en cuenta que deberá reemplazar SCAN ID con la ID real.
maldet –informe ID DE ESCANEO
Ej: maldet –informe 062617-2220.1771

Para poner en cuarentena todos los resultados de malware de un análisis anterior, ejecute el siguiente comando.
maldet -q ID DE ESCANEO
Ex. maldet -cuarentena 062617-2220.1771

Automatizar Maldet

Puede editar el archivo de configuración de maldet conf.maldet para automatizar los procesos como,

1. Establezca email_alert en 1 para enviar informes a la cuenta de correo electrónico configurada.
2. En email_addr , configure la cuenta de correo electrónico en la que desea recibir informes de análisis.
3. Cambie quar_hits a 1 para que cualquier malware encontrado se mueva al directorio ' /usr/local/maldetect/quarantine ' y reciba una notificación en la dirección de correo electrónico configurada.
4. cambie quar_susp a 1 , esto habilitará la suspensión de la cuenta de los usuarios de cPanel o configurará el acceso de shell a ' /bin/false ' para usuarios que no sean de cPanel.

11. Configurar trabajo cron para ejecutar ClamAV diariamente

Dado que las acciones de agregar, actualizar y eliminar ocurren rápidamente con los archivos que residen en su servidor, es de suma importancia asegurarse de que todos los cambios nuevos estén seguros y escaneados correctamente con una aplicación antivirus.

Puede usar el trabajo cron del escáner de ClamAV para ejecutar escaneos semanales que se iniciarán automáticamente durante el "fuera de horario".

Use el siguiente comando para ejecutar este cron.
para i en awk '!/nobody/{print $2 | "sort | uniq" }' /etc/userdomains | sort | uniq awk '!/nobody/{print $2 | "sort | uniq" }' /etc/userdomains | sort | uniq awk '!/nobody/{print $2 | "sort | uniq" }' /etc/userdomains | sort | uniq ; hacer /usr/local/cpanel/3rdparty/bin/clamscan -i -r /home/$i 2>>/dev/null; hecho >> /raíz/infecciones&
Este comando busca recursivamente el directorio de inicio en busca de spam y archivos infectados.

12. Deshabilitar la información del encabezado de Apache

Dado que la firma de su servidor contiene información como Apache y las versiones del sistema operativo, es importante que oculte esta información de los ojos del público indiscreto mediante el inicio de sesión de WHM.

1. Una vez que haya iniciado sesión en WHM. Vaya a Configuración del servicio → Configuración de Apache → Configuración global .
2. Establezca los siguientes valores.
   Firma del servidor = Desactivado
   Fichas de servidor = solo producto

13. Ocultar información de la versión de PHP

Al igual que los encabezados de Apache, no debe exponer también la información de la versión de PHP. Estos son los pasos para ocultar esta información.

1. Una vez que haya iniciado sesión en WHM. Vaya a Configuración del servicio → Editor de configuración de PHP .
2. Establezca los siguientes valores.
   exponer_php= “apagado”

14. Deshabilite FTP y use SFTP en su lugar

Aunque no lo adivinarías por sus nombres, los protocolos FTP y SFTP no podrían ser más diferentes entre sí.

Con FTP estándar, todos los datos transmitidos entre el cliente y el servidor están en texto sin formato. Esto hace posible que un espía recupere su información confidencial, incluidas las credenciales de inicio de sesión y otros mensajes "privados".

A diferencia del FTP estándar, el SFTP (Protocolo de transferencia de archivos SSH) cifra tanto los comandos como los datos, evitando que las contraseñas y la información confidencial se transmitan en texto sin formato a través de la red.

Haga clic aquí para conocer los pasos para generar la clave SSH y conectarse al servidor a través del cliente SFTP.

Si solo desea permitir la conexión SFTP y deshabilitar el plan FTP, siga los pasos a continuación en WHM/cPanel.

1. Inicie sesión en su WHM/cPanel como usuario raíz.
2. Vaya a Configuración del servidor FTP . En Soporte de cifrado TLS, cámbielo a Requerido (Comando) y haga clic en el botón Guardar .

15. Protección del acceso a cPanel y WHM

Forzar URL HTTPS para acceder a cPanel/WHM

Para proteger su inicio de sesión de cPanel o WHM con un cifrado basado en SSL, siga estos dos sencillos pasos.

1. Inicie sesión en WHM y navegue Inicio → Configuración del servidor → Ajustes de ajuste.
2. Desplácese hacia la derecha hasta la pestaña de redirección y use la configuración que se muestra en la imagen de abajo.

Deshabilitar el inicio de sesión de cPanel-ID

Un servidor cPanel permite dos tipos de inicios de sesión.

El primero es el inicio de sesión de nombre de usuario y contraseña predeterminado/estándar y el segundo es iniciar sesión en el servidor con una ID de cPanel.

Una identificación de cPanel permite a los usuarios implementar un solo nombre de usuario y contraseña para obtener acceso a una amplia variedad de servicios de cPanel.

Si bien este método es más que adecuado para la organización que administra un gran centro de datos y contrata con frecuencia a nuevos técnicos, si solo tiene un servidor, debe deshabilitarlo siguiendo los siguientes pasos.

1. Inicie sesión en WHM y vaya a Inicio → Centro de seguridad → Administrar autenticación externa .
2. Cambie el inicio de sesión de cPanel-ID para deshabilitarlo como se muestra en la imagen a continuación.

Conclusión

Al implementar estos 15 sencillos consejos en su VPS o servidor dedicado, reducirá inmediatamente su vulnerabilidad a los ataques tanto internos como externos y aumentará la seguridad de su sistema en cuestión de horas.

Y aunque estos consejos reducirán la cantidad de amenazas a su servidor, no son una panacea.

Para optimizar la seguridad de su sistema, debe hacer su debida diligencia y actualizarse regularmente sobre los acontecimientos más recientes en el mundo de la seguridad del servidor.

Sin embargo, con solo unas pocas horas de investigación al mes, puede mantenerse a la vanguardia de la seguridad de cPanel y asegurarse de que usted y su empresa permanecerán seguros en los años venideros.

¿Tiene alguna pregunta sobre los 15 consejos enumerados anteriormente? ¿Ha encontrado nuevas características de seguridad de los servidores cPanel que desea compartir? Háganos saber en los comentarios a continuación.