Sicurezza

La pagina Sicurezza è divisa in schede: Firewall (con porte, indirizzi, difese automatiche, controllo e registro), Accessi (fail2ban e accesso in due passaggi obbligatorio), Certificato del pannello e Terminale web.

Firewall

Il firewall decide chi può raggiungere il server e da dove. In cima vedi se è attivo o spento, con il pulsante per cambiarlo, e quattro numeri: servizi raggiungibili e indirizzi in Consenti, Blocca e Ignora.

Controllo della sicurezza

Il primo numero in cima è il punteggio di sicurezza (su 100). Cliccalo, o apri la scheda Controllo, per vedere cosa sistemare, in ordine di importanza, con il pulsante Sistema che porta dove si fa: firewall attivo, fail2ban in funzione, protezione degli accessi a SSH e al pannello, blocco permanente, SSH solo con le chiavi e senza password per root, database non aperti a tutti, modalità di prova, aggiornamenti di sicurezza, riavvio in attesa, accesso in due passaggi obbligatorio per gli amministratori.

Modalità di prova

Con la Modalità di prova attiva (lo è di base), dopo ogni modifica che potrebbe chiuderti fuori (attivare il firewall, cambiare le porte, aggiungere una regola, bloccare un indirizzo) compare un riquadro giallo con il conto alla rovescia: hai 5 minuti per premere Funziona, conferma. Se non confermi, perché non riesci più a raggiungere il server, il pannello rimette da solo la configurazione di prima.

Porte

Ogni servizio del server (siti web, SSH e SFTP, pannello, posta, FTP, DNS, database) ha la sua scheda con le porte, se è in ascolto e chi può raggiungerlo:

Tutti: aperto a tutto Internet;
Solo da…: solo dagli indirizzi che scrivi (per esempio il database solo dal server dell'applicazione);
Chiuso: nessuno da fuori.

SSH e il pannello non si possono chiudere a tutti, e si possono limitare solo a un elenco che comprende il tuo indirizzo: così non rischi di chiuderti fuori.

Indirizzi

Tre elenchi validi per tutto il server, come in WHM:

Consenti: l'indirizzo passa su tutte le porte e non viene mai bloccato (per esempio il tuo ufficio). Vale anche dentro una rete bloccata;
Blocca: l'indirizzo viene respinto su tutte le porte, prima di ogni altra regola;
Ignora: fail2ban non blocca mai l'indirizzo (per esempio un servizio di monitoraggio); le porte restano quelle di sempre.

Per ogni indirizzo (un IP o una rete, IPv4 o IPv6) puoi scrivere una nota e scegliere una scadenza: 1 ora, 1 giorno, 1 settimana, 30 giorni o per sempre. Il pannello mostra chi l'ha aggiunto e quando; alla scadenza l'indirizzo esce da solo dall'elenco. Il pannello non ti lascia bloccare il tuo indirizzo né quelli del server.

Protezione

Le difese automatiche, come LFD e cPHulk in WHM. Si cambiano tutte insieme e si salvano con la barra in fondo (con la modalità di prova attiva hai 5 minuti per confermare).

Tentativi di accesso: per ogni servizio (SSH e SFTP, pannello, FTP, invio e lettura della posta, login di WordPress) puoi spegnere la protezione o scegliere tentativi, finestra e durata del blocco; «generale» usa i valori del riquadro Fail2ban.
Blocco permanente: chi viene bloccato più volte (per esempio 3 volte in un giorno) resta fuori per una settimana, un mese o per sempre, su tutte le porte.
Paesi: blocca alcuni paesi o lascia entrare solo quelli che scegli, su tutte le porte o solo su alcuni servizi (per esempio SSH e pannello solo dall'Italia). Il pannello ti dice in che paese è il tuo indirizzo e non salva una scelta che ti chiuderebbe fuori. I paesi degli indirizzi vengono da DB-IP (CC BY 4.0), aggiornati ogni settimana.
Flood e scansioni: limita le connessioni contemporanee e quelle nuove al minuto di un singolo indirizzo (di base sui siti web), e blocca per un po' chi prova le porte chiuse.
Liste di indirizzi malevoli: Spamhaus DROP (reti dirottate o usate solo da criminali) e DShield (le reti che attaccano di più in questi giorni), aggiornate ogni giorno.
Posta in uscita solo dal server di posta: solo il server di posta e root possono mandare email verso l'esterno (porte 25, 465 e 587): un sito infettato non può spedire spam da solo.

Le reti private (10.x, 192.168.x…) e gli indirizzi in Consenti non vengono mai fermati da queste difese.

Avvisi: un'email agli amministratori (gli indirizzi di Impostazioni › Email) quando un indirizzo viene bloccato in modo permanente, quando qualcuno entra in SSH da un indirizzo mai visto, e quando in un'ora vengono bloccati molti indirizzi (possibile attacco, al massimo un'email ogni 6 ore). L'attacco compare anche negli avvisi in alto nel pannello.

Con dei server collegati, negli Indirizzi puoi scegliere Anche sui server collegati: lo stesso indirizzo viene bloccato, consentito o ignorato su tutti, e quando lo togli il pannello ti chiede se toglierlo anche da lì. Il pannello ti dice su quali server non è riuscito (per esempio uno con una versione vecchia).

Cerca un IP

Scrivi un indirizzo e il pannello ti dice dove compare: negli elenchi (anche dentro una rete), nelle jail di fail2ban, nel Blocco IP dei siti e nelle regole, con gli ultimi eventi. Con Sblocca ovunque lo togli da Blocca, da fail2ban e dal Blocco IP dei siti che lo elencano. Se è dentro una rete bloccata, il pannello te lo dice: la rete resta, perché blocca anche altri indirizzi.

Registro

Chi è stato bloccato e sbloccato, da fail2ban o dal pannello, e chi ha cambiato cosa (indirizzi aggiunti, tolti o scaduti, porte, modifiche confermate o ripristinate), oggi, negli ultimi 7 o 30 giorni. Accanto, gli indirizzi più bloccati, con Blocca per fermarli su tutte le porte.

Regole avanzate

Le regole singole (consentire, rifiutare o limitare una porta, anche solo da un certo indirizzo) restano per i casi particolari. Le regole che tengono raggiungibili SSH e il pannello non si possono eliminare.

Se il sito è dietro una CDN, il firewall del server vede gli indirizzi della CDN: per i visitatori di quel sito usa il Blocco IP e il limite di richieste nelle Regole del sito.

Blocco dei tentativi di accesso (fail2ban)

fail2ban blocca per un po' gli indirizzi che sbagliano ripetutamente la password (per esempio su SSH). Nella pagina vedi gli indirizzi bloccati e puoi:

sbloccare un indirizzo bloccato per errore;
bloccare a mano un indirizzo;
scegliere dopo quanti tentativi bloccare, per quanto tempo e in quale finestra di tempo contare i tentativi;
indicare gli IP mai bloccati, per esempio quello del tuo ufficio.

Registro attività

Nella pagina Registro trovi chi ha fatto cosa, quando e da quale indirizzo: creazioni, modifiche, eliminazioni e accessi al pannello.

Terminale web

In questa pagina c'è anche il riquadro Terminale web: chi può aprire la shell root, registrazione delle sessioni e chiusura per inattività. Vedi Terminale web.

Buone abitudini

Usa una password lunga e diversa da quelle che usi altrove.
Indica la tua email nella pagina Account: se qualcuno cambia la tua password, lo saprai subito.
Configura i backup e conserva la password del repository lontano dal server.