Sécuriser un serveur HestiaCP

• Les règles que vous définissez sur la page Firewall de Hestia (ou avec v-add-firewall-rule) sont appliquées par `v-update-firewall`. Ce script vide la chaîne INPUT, la reconstruit à partir des règles de Hestia et met la politique d'INPUT sur DROP.
• Les jails fail2ban de Hestia bannissent via les commandes propres à Hestia, dans des chaînes fail2ban-<name> que Hestia raccorde à INPUT pour chaque service.
• Hestia gère aussi des listes ipset, pour des listes noires et des listes blanches. Sa documentation du pare-feu prévient qu'il efface les règles iptables qui n'ont pas été ajoutées via Hestia ou son script custom.sh.

Une règle ajoutée à la main avec iptables ne survit donc pas au prochain changement de pare-feu dans Hestia. Tout outil qui ajoute ses propres règles doit les remettre en place.

• Ses règles vivent dans ses propres chaînes (INFRAFENCE et les autres), auxquelles la reconstruction d'INPUT par Hestia ne touche pas. Seul le saut depuis INPUT est perdu quand Hestia vide la chaîne.
• Il remet ce saut en place en moins d'une minute, avant toute règle susceptible d'accepter du trafic, si bien que ses bannissements s'appliquent aussi aux ports que Hestia a ouverts. Il n'ajoute jamais de règle d'acceptation : il n'ouvre donc jamais ce que Hestia a fermé.
• fail2ban n'est pas touché. Les chaînes fail2ban-<name> et les jails de Hestia restent intacts : les deux ne font que rejeter du trafic, ils n'entrent donc pas en conflit.
• Si Hestia reconstruit le pare-feu encore et encore, l'agent signale un événement de conflit de pare-feu, pour que vous sachiez où regarder (Coexistence).

• Il reconnaît HestiaCP à partir de /usr/local/hestia et lit sa version dans hestia.conf ; le tableau de bord affiche les deux.
• Il ne modifie jamais la configuration du serveur web. Hestia gère nginx et Apache : l'agent n'ajoute donc ni règles ModSecurity ni blocage par user agent ; les bots réglés sur Bloquer sont bannis au niveau du pare-feu à la place (Bots).
• Il lit le journal d'accès de chaque site, à partir de la configuration du serveur web écrite par Hestia, et ignore les fichiers .bytes que Hestia utilise pour compter la bande passante (Pare-feu web).
• Il analyse chaque site à la recherche de malwares : /home/<user>/web/<domain>/public_html est trouvé tout seul, avec son domaine (Malware).
• Il peut vérifier vos sites pour le badge de surveillance en écrivant son fichier de vérification à la racine web du site (Badge de surveillance).
• Il arrête la force brute SSH au niveau du pare-feu, peut fermer les ports de base de données ouverts sur internet quand vous le demandez depuis le tableau de bord, et surveille le trafic sortant, le DNS et l'intégrité des fichiers, comme sur tout serveur Linux.

1. Lancez d'abord le contrôle en lecture seule : le --dry-run de l'installeur signale ce qui pourrait gêner, sans rien modifier.
2. Dans le tableau de bord, Serveurs › Ajouter un serveur crée un jeton d'installation, valable une heure.
3. Lancez la commande d'installation en root via SSH. Rien ne doit changer dans Hestia.

curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --dry-run

HestiaCP tourne sur Debian et Ubuntu, toutes deux parmi les 15 distributions sur lesquelles l'agent est testé avant chaque version (Distributions prises en charge).