Nesaugūs slaptažodžiai yra viena dažniausių serverių saugumo spragų. Jeigu paskyros slaptažodis yra silpnas ir patenka į trečiųjų šalių rankas, kliento svetainės gali būti sugadintos, užkrėstos arba panaudotos virusams ir kenkėjiškai programinei įrangai platinti.

Saugūs slaptažodžiai yra vienas svarbiausių serverio apsaugos elementų. Sistemoje slaptažodžių parametrus galite konfigūruoti faile:

Šis failas yra gerai dokumentuotas ir leidžia nustatyti įvairias slaptažodžių taisykles.

Rekomenduojama naudoti bent 8 simbolių slaptažodį, kuriame būtų raidžių, skaičių ir specialiųjų simbolių. Nenaudokite slaptažodžių, sudarytų iš žodyno žodžių, vardų, gimimo datų ar kitų lengvai atspėjamų reikšmių.

SSH prieiga yra vienas svarbiausių serverio administravimo kanalų, todėl ją būtina tinkamai apsaugoti.

Rekomenduojama:

Pagal numatytuosius nustatymus SSH dažniausiai veikia per 22 prievadą. Būtent šio prievado dažniausiai ieško automatizuoti bandymai prisijungti prie serverių. Pakeitus SSH prievadą į kitą, sumažinama paprastų automatizuotų atakų tikimybė.

Svarbu imtis papildomų veiksmų Apache apsaugai sustiprinti. Vienas iš geriausių įrankių, padedančių apsisaugoti nuo kenkėjiško Apache naudojimo, yra mod_security.

mod_security galima įdiegti per WHM esančią cPanel papildomų modulių skiltį. Daugiau informacijos apie mod_security galite rasti cPanel dokumentacijoje.

Kompiliuojant Apache taip pat rekomenduojama įtraukti suexec. Šis modulis užtikrina, kad CGI programos ir skriptai būtų vykdomi to naudotojo teisėmis, kuriam jie priklauso arba kuris juos paleidžia. Tai padeda lengviau nustatyti, kur yra kenkėjiški skriptai ir kas juos vykdo. Taip pat sustiprinama leidimų ir aplinkos kontrolė.

Rekomenduojama papildomai įjungti PHP open_basedir apsaugą. Ji neleidžia naudotojams per PHP atidaryti failų, esančių už jų namų katalogo ribų.

Šią apsaugą galite įjungti WHM skiltyje:

Rekomenduojama naudoti atskirą /tmp skaidinį ir prijungti jį su nosetuid parametru. nosetuid užtikrina, kad procesas būtų vykdomas su jį paleidusio naudotojo teisėmis.

Įdiegus cPanel taip pat galite prijungti /tmp su noexec parametru. Tai padeda užkirsti kelią vykdomųjų failų paleidimui iš /tmp katalogo.

Papildomam saugumui galite paleisti:

Šis skriptas prijungs /tmp skaidinį prie laikino failo ir taip suteiks papildomą apsaugos sluoksnį.

Daugumai naudotojų C ir C++ kompiliatoriai serveryje nėra reikalingi. WHM skiltyje Tweak Security galite naudoti Compilers Tweak funkciją ir išjungti kompiliatorių naudojimą visiems neprivilegijuotiems naudotojams arba tik konkretiems naudotojams.

Daugelis paruoštų išnaudojimo įrankių reikalauja veikiančių kompiliatorių. Todėl jų išjungimas padeda apsisaugoti nuo dalies galimų atakų.

Bet kuri paslauga ar procesas, leidžiantis prisijungti prie serverio, gali tapti papildomu keliu įsilaužimui. Norėdami sumažinti saugumo riziką, išjunkite visas paslaugas ir procesus, kurių nenaudojate.

Patikrinkite failą:

Išjunkite paslaugas, kurių nenaudojate.

WHM aplinkoje eikite į:

Išjunkite visas nereikalingas paslaugas.

Svarbu nuolat žinoti, kas vyksta jūsų serveryje: kada sukuriamos paskyros, kokia programinė įranga diegiama, kada reikalingi atnaujinimai ir ar sistema veikia taip, kaip tikimasi.

Reguliariai tikrinkite sistemą naudodami šias komandas ir įrankius.

Ieškokite programų, kurios naudoja prievadus, bet nebuvo jūsų įdiegtos ar patvirtintos.

Peržiūrėkite failą:

Jame matysite visus failus ir katalogus, į kuriuos gali rašyti visi naudotojai. Tokios vietos gali būti panaudotos kenkėjiškiems failams įkelti.

Pastaba: keičiant leidimus kai kuriems netinkamai parašytiems PHP ar CGI skriptams, jie gali nustoti veikti.

Peržiūrėkite failą:

Jame matysite failus, kurie neturi priskirto naudotojo arba grupės. Visi failai turėtų priklausyti konkrečiam naudotojui arba grupei, kad prieiga prie jų būtų tinkamai apribota.

Sistemoje yra daug žurnalų, kurie gali suteikti vertingos informacijos. Reguliariai tikrinkite sistemos, Apache, pašto ir kitus žurnalus, kad įsitikintumėte, jog serveris veikia tinkamai.

Yra daug įrankių, kurie padeda stebėti sistemą, aptikti rootkit tipo kenkėjiškas programas, galines duris ir kitus pavojus.

Dažniausiai naudojami įrankiai:

Svarbu naudoti naujausias stabilias programinės įrangos versijas. Taip užtikrinama, kad būtų įdiegti saugumo pataisymai ir pašalintos ankstesnių versijų spragos.

Reguliariai atnaujinkite:

cPanel/WHM ir dalis sistemos programinės įrangos gali būti atnaujinama automatiškai, tačiau vis tiek rekomenduojama reguliariai tikrinti atnaujinimų būseną.

ClamAV yra atvirojo kodo antivirusinė programa, skirta aptikti Trojos arklius, virusus, kenkėjišką programinę įrangą ir kitas grėsmes Linux sistemose.

ClamAV galima įdiegti rankiniu būdu serveryje arba aktyvuoti per WHM.

Rekomenduojama sukonfigūruoti reguliarų kasdienį skenavimą, kad galimos grėsmės būtų aptiktos kuo anksčiau.

Dviejų veiksnių autentifikacija padeda apsaugoti WHM ir cPanel prieigą net tada, kai slaptažodis tampa žinomas tretiesiems asmenims. Tokiu atveju prisijungimui vis tiek reikės papildomo patvirtinimo kodo.

Norėdami įjungti 2FA WHM administratoriaus paskyrai:

Taip pat rekomenduojama įjungti dviejų veiksnių autentifikaciją kiekvienai cPanel naudotojo paskyrai.

Norėdami tai padaryti:

Atsarginės kopijos apsaugo nuo duomenų praradimo, sugadinimo ar serverio kompromitavimo pasekmių.

Norėdami sukonfigūruoti atsargines kopijas:

cPHulk padeda apsisaugoti nuo brute force tipo prisijungimo bandymų prie cPanel, WHM, SSH ir el. pašto paslaugų.

Norėdami įjungti cPHulk:

Atlikus šiuos veiksmus, cPanel/WHM VPS serverio saugumas bus ženkliai sustiprintas. Vis dėlto serverio saugumas nėra vienkartinis veiksmas. Reguliariai tikrinkite sistemą, atnaujinkite programinę įrangą, stebėkite žurnalus ir peržiūrėkite naudotojų veiklą.