migliorare sicurezza su VPS, ed eventuali conflitti

[stardom]

Ciao, ti confermo che stiamo viaggiando senza mod_evasive e con ConfigServer già nel mio cPanel. Infatti le cose sembrano tornate normali da un paio di settimane. Se hai qualche suggerimento sulle impostazioni di ConfigServer (ora tutto in default) fammi sapere. Grazie

[Dascos]

Ciao, ti confermo che stiamo viaggiando senza mod_evasive e con ConfigServer già nel mio cPanel. Infatti le cose sembrano tornate normali da un paio di settimane. Se hai qualche suggerimento sulle impostazioni di ConfigServer (ora tutto in default) fammi sapere. Grazie

Assolutamente sì, ho dei consigli....
Intanto dovrei sapere se il server su cui è installato passa tutti i check di CFS/LFD.
Se li passa tutti, ti consiglio di valutare attentamente le opzioni:

UDPFLOOD (100/s e 500 burst)
CONNLIMIT (io ho configurazioni del tipo 22;5, cioè 5 connessioni dallo stesso IP sulla porta 22)
PORTFLOOD (io ho una forma del tipo 22;tcp;7;300, cioè la porta 22 tcp massimo 7 connessioni in 300 secondi)
LF_PERMBLOCK e tutti i collegati, che servono per dare un "bonus" a chi fa il furbetto senza compromettere troppo le connessioni legittime. Questa serie di opzioni vanno a braccetto con
LF_TRIGGER, che va valutata attentamente (io ho più o meno 5 tentativi per ogni parte coperta, con blocchi da 5 minuti per servizi come http a un giorno per servizi come pop/smtp, che diventano "permanenti" dopo 3 tentativi falliti)
Ultima da vedere secondo me con attenzione è LF_DISTATTACK, che ho impostato come massimo su 5 per i vari UNIQ.

Se poi hai necessità di fare robe "custom", studia per bene /usr/local/csf/bin/regex.custom.pm che ti permette di fare un sacco di cosine divertenti con i log :-D
Io lo uso per trappare i SASL login con una robina così

if (($lgfile eq $config{CUSTOM1_LOG}) and ($line =~ /^.*\[(\S+)\].*SASL (?:LOGIN|PLAIN) authentication failed.*$/)) {
        return ("CUSTOM SASL login failed from",$1,"customsasllogin","2","110,143,993,995","120","0");
}

[stardom]

Intanto dovrei sapere se il server su cui è installato passa tutti i check di CFS/LFD.

Roba delicata, e di cui non sono molto esperto. Ma ho fatto un primo security check, che mi ha dato questo risultato. Ti riferivi a quello?

[Dascos]

Roba delicata, e di cui non sono molto esperto. Ma ho fatto un primo security check, che mi ha dato questo risultato. Ti riferivi a quello?

Anche ma non solo.
Intendevo più che altro di eseguire, su una shell,

perl /etc/csf/csftest.pl

che dovrebbe darti qualcosa tipo

Testing ip_tables/iptable_filter...OK
Testing ipt_LOG...OK
Testing ipt_multiport/xt_multiport...OK
Testing ipt_REJECT...OK
Testing ipt_state/xt_state...OK
Testing ipt_limit/xt_limit...OK
Testing ipt_recent...OK
Testing xt_connlimit...OK
Testing ipt_owner/xt_owner...OK
Testing iptable_nat/ipt_REDIRECT...OK
Testing iptable_nat/ipt_DNAT...OK

RESULT: csf should function on this server

Comunque c'è da lavorare un po' sul server, hai troppe impostazioni "critiche", soprattutto per il php e la posta...
Prova seguendo le indicazioni del test, l'importante è NON tagliarti fuori dalla connessione, quindi tieni sempre abilitata la porta 22 e metti in whitelist il tuo ip, nel file csf.ignore

[stardom]

Comunque c'è da lavorare un po' sul server, hai troppe impostazioni "critiche", soprattutto per il php e la posta...

Dunque, ti seguo un po' come un cagnolino fedele.
Ho eseguito il test e mi dà i risultati ok che indichi.
Ho anche selezionato un paio di caselle per la mail ed ora il check è verde. Su alcuni dei check php (come "enable_dl = Off") ho letto che è deprecato e quindi inutile modificarlo.
Ho trovato un certo "Enable Passive OS Fingerprinting for Apache SpamAssassin" disabilitato. Devo abilitarlo?