Proteggere un server HestiaCP

• Le regole che imposti nella pagina Firewall di Hestia (o con v-add-firewall-rule) vengono applicate da `v-update-firewall`. Lo script svuota la catena INPUT, la ricostruisce dalle regole di Hestia e imposta la policy di INPUT su DROP.
• Le jail di fail2ban di Hestia bannano tramite i comandi di Hestia, in catene fail2ban-<name> che Hestia aggancia a INPUT per ogni servizio.
• Hestia gestisce anche liste ipset, per blacklist e whitelist. La sua documentazione sul firewall avverte che cancella le regole iptables non aggiunte tramite Hestia o il suo script custom.sh.

Una regola aggiunta a mano con iptables quindi non sopravvive alla modifica successiva del firewall in Hestia. Qualsiasi strumento che aggiunge regole proprie deve rimetterle.

• Le sue regole stanno nelle sue catene (INFRAFENCE e le altre), che la ricostruzione di INPUT da parte di Hestia non tocca. Quando Hestia svuota la catena si perde solo il salto da INPUT.
• Rimette quel salto entro un minuto, prima di qualsiasi regola che possa accettare traffico, così i suoi ban valgono anche per le porte aperte da Hestia. Non aggiunge mai una regola di accept, quindi non apre mai nulla che Hestia abbia chiuso.
• fail2ban non viene toccato. Le catene fail2ban-<name> e le jail di Hestia restano come sono: entrambi si limitano a scartare traffico, quindi non entrano in conflitto.
• Se Hestia ricostruisce il firewall di continuo, l'agente segnala un evento di conflitto sul firewall, così sai dove guardare (Coesistenza).

• Riconosce HestiaCP da /usr/local/hestia e ne legge la versione da hestia.conf, e la dashboard mostra entrambi.
• Non modifica mai la configurazione del web server. nginx e Apache sono gestiti da Hestia, quindi l'agente non aggiunge regole ModSecurity né blocchi per user agent; i bot impostati su Blocca vengono invece bannati sul firewall (Bot).
• Legge l'access log di ogni sito, dalla configurazione del web server scritta da Hestia, e salta i file .bytes che Hestia usa per i contatori di banda (Web firewall).
• Scansiona ogni sito alla ricerca di malware: /home/<user>/web/<domain>/public_html viene trovato da solo, con il suo dominio (Malware).
• Può verificare i tuoi siti per il badge di monitoraggio scrivendo il suo file di verifica nella web root del sito (Badge di monitoraggio).
• Ferma il brute force SSH sul firewall, può chiudere le porte dei database aperte su internet quando lo chiedi dalla dashboard e controlla traffico in uscita, DNS e integrità dei file, come su qualsiasi server Linux.

1. Esegui prima il controllo in sola lettura: il --dry-run dell'installer segnala cosa potrebbe intralciare e non modifica nulla.
2. Nella dashboard, Server › Aggiungi server crea un token di installazione, valido per un'ora.
3. Esegui il comando di installazione come root via SSH. In Hestia non va cambiato nulla.

curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --dry-run

HestiaCP gira su Debian e Ubuntu, entrambe tra le 15 distribuzioni su cui l'agente viene testato prima di ogni release (Distribuzioni supportate).