Como proteger um servidor CyberPanel

• O firewalld é o que a tela Firewall do próprio CyberPanel controla: cada regra que você adiciona ali vira uma rich rule do firewalld na zona public, seguida de firewall-cmd --reload (código-fonte).
• O CSF pode ser instalado no lugar dele pelo menu Security do CyberPanel. O instalador ainda baixa o CSF de download.configserver.com (código-fonte), o servidor da própria ConfigServer, que saiu do ar quando a empresa fechou, em 31 de agosto de 2025. Não o rode num servidor novo. Se o CSF já está instalado, ele continua funcionando, mas as atualizações não vêm mais da ConfigServer.

Seja qual for a sua escolha, limite quem alcança a porta de administração do CyberPanel (8090 por padrão) aos seus próprios endereços sempre que puder, e mantenha o SSH só com chaves.

• Ele reconhece o CyberPanel por /usr/local/CyberCP e o mostra no painel, e detecta o OpenLiteSpeed ou o LiteSpeed Enterprise mesmo eles ficando fora dos caminhos de costume.
• Ele não mexe na configuração do LiteSpeed. O agente não altera a configuração do LiteSpeed nem instala regras de ModSecurity ali. Os bots marcados como Bloquear são bloqueados no firewall (Bots).
• Ele lê o tráfego de todos os sites: os logs dos virtual hosts do OpenLiteSpeed e os arquivos /home/*/logs/*.access_log por domínio do CyberPanel, com as mesmas regras de ataques web de qualquer servidor (Firewall web).
• Ele procura malware nos sites, a partir da raiz dos documentos de cada virtual host do OpenLiteSpeed (Malware).
• Ele para a força bruta no SSH no firewall, pode fechar portas de banco de dados abertas para a internet quando você pede pelo painel e monitora tráfego de saída, DNS e integridade de arquivos, como em qualquer servidor Linux.

As regras dele ficam nas próprias cadeias INFRAFENCE, e ele nunca altera as regras de outra ferramenta. Se uma ferramenta reescreve o firewall sem parar, o agente informa isso como um conflito de firewall, dizendo onde olhar (Coexistência).

1. Rode antes a verificação somente leitura: o --dry-run do instalador aponta o que poderia atrapalhar e não altera nada.
2. No painel, Servidores › Adicionar servidor cria um token de instalação, válido por uma hora.
3. Rode o comando de instalação como root via SSH. Nada no CyberPanel precisa mudar.

curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --dry-run

O agente é testado em 15 distribuições antes de cada versão, entre elas Ubuntu e AlmaLinux (Distribuições suportadas).