Einen CyberPanel-Server absichern

• firewalld steuert CyberPanels eigene Seite Firewall: Jede Regel, die du dort anlegst, wird zu einer Rich Rule von firewalld in der Zone public, gefolgt von firewall-cmd --reload (Quellcode).
• CSF lässt sich stattdessen über das Menü Security von CyberPanel installieren. Sein Installer lädt CSF immer noch von download.configserver.com herunter (Quellcode), dem Server von ConfigServer, der mit der Schließung der Firma am 31. August 2025 offline gegangen ist. Führ ihn auf einem neuen Server nicht aus. Ist CSF schon installiert, läuft es weiter, aber Updates kommen nicht mehr von ConfigServer.

Egal welche du nutzt: Beschränke den Zugriff auf den Admin-Port von CyberPanel (standardmäßig 8090) wo möglich auf deine eigenen Adressen, und lass SSH nur mit Schlüsseln zu.

• Er erkennt CyberPanel an /usr/local/CyberCP und zeigt es im Dashboard, und er erkennt OpenLiteSpeed oder LiteSpeed Enterprise, obwohl sie außerhalb der üblichen Pfade liegen.
• Er lässt die Konfiguration von LiteSpeed in Ruhe. Der Agent ändert die Konfiguration von LiteSpeed nicht und installiert dort keine ModSecurity-Regeln. Bots, die auf Blockieren stehen, werden stattdessen an der Firewall gesperrt (Bots).
• Er liest den Verkehr jeder Website: die Logs der virtuellen Hosts von OpenLiteSpeed und CyberPanels Dateien pro Domain unter /home/*/logs/*.access_log, mit denselben Regeln gegen Web-Angriffe wie auf jedem Server (Web-Firewall).
• Er scannt die Websites auf Malware, ausgehend vom Document Root jedes virtuellen Hosts von OpenLiteSpeed (Malware).
• Er stoppt SSH-Brute-Force an der Firewall, kann Datenbank-Ports, die aus dem Internet erreichbar sind, schließen, wenn du es im Dashboard anforderst, und überwacht ausgehenden Verkehr, DNS und Dateiintegrität wie auf jedem Linux-Server.

Seine Regeln liegen in eigenen INFRAFENCE-Chains, und die Regeln anderer Tools ändert er nie. Schreibt ein Tool die Firewall immer wieder neu, meldet der Agent einen Firewall-Konflikt, mit einem Hinweis, wo du nachsehen solltest (Koexistenz).

1. Führe zuerst die Prüfung nur lesend aus: --dry-run meldet, was im Weg stehen würde, und ändert nichts.
2. Im Dashboard erstellt Server › Server hinzufügen ein Installations-Token, eine Stunde lang gültig.
3. Führe den Installationsbefehl als root über SSH aus. An CyberPanel musst du nichts ändern.

curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --dry-run

Der Agent wird vor jedem Release auf 15 Distributionen getestet, darunter Ubuntu und AlmaLinux (Unterstützte Distributionen).