Como proteger um servidor HestiaCP

• As regras que você define na página Firewall do Hestia (ou com v-add-firewall-rule) são aplicadas pelo `v-update-firewall`. Ele esvazia a cadeia INPUT, a reconstrói a partir das regras do Hestia e define a política de INPUT como DROP.
• As jails do fail2ban do Hestia bloqueiam pelos comandos do próprio Hestia, em cadeias fail2ban-<name> que o Hestia liga ao INPUT para cada serviço.
• O Hestia também gerencia listas de ipset, para listas de bloqueio e de permissão. A documentação do firewall dele avisa que ele apaga as regras do iptables que não foram adicionadas pelo Hestia ou pelo script custom.sh dele.

Ou seja, uma regra adicionada à mão com iptables não sobrevive à próxima alteração de firewall no Hestia. Qualquer ferramenta que adiciona as próprias regras precisa colocá-las de volta.

• As regras dele ficam nas próprias cadeias (INFRAFENCE e as outras), que a reconstrução do INPUT pelo Hestia não toca. Só o salto a partir do INPUT se perde quando o Hestia esvazia a cadeia.
• Ele recoloca esse salto em até um minuto, antes de qualquer regra que possa aceitar tráfego, então os bloqueios dele também valem para as portas que o Hestia abriu. Ele nunca adiciona uma regra de aceitação, então nunca abre nada que o Hestia fechou.
• O fail2ban fica intocado. As cadeias fail2ban-<name> e as jails do Hestia não são alteradas: os dois só descartam tráfego, então não entram em conflito.
• Se o Hestia reconstrói o firewall sem parar, o agente informa um evento de conflito de firewall, para você saber onde olhar (Coexistência).

• Ele reconhece o HestiaCP por /usr/local/hestia e lê a versão em hestia.conf, e o painel mostra as duas coisas.
• Ele nunca altera a configuração do servidor web. O Hestia gerencia o nginx e o Apache, então o agente não adiciona regras de ModSecurity nem bloqueios por user agent; os bots marcados como Bloquear são bloqueados no firewall (Bots).
• Ele lê o log de acesso de todos os sites, a partir da configuração do servidor web que o Hestia escreve, e ignora os arquivos .bytes que o Hestia usa para contar o tráfego (Firewall web).
• Ele procura malware em todos os sites: /home/<user>/web/<domain>/public_html é encontrado sozinho, com o seu domínio (Malware).
• Ele pode verificar os seus sites para o selo de monitoramento gravando o arquivo de verificação na raiz web do site (Selo de monitoramento).
• Ele para a força bruta no SSH no firewall, pode fechar portas de banco de dados abertas para a internet quando você pede pelo painel e monitora tráfego de saída, DNS e integridade de arquivos, como em qualquer servidor Linux.

1. Rode antes a verificação somente leitura: o --dry-run do instalador aponta o que poderia atrapalhar e não altera nada.
2. No painel, Servidores › Adicionar servidor cria um token de instalação, válido por uma hora.
3. Rode o comando de instalação como root via SSH. Nada no Hestia precisa mudar.

curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --dry-run

O HestiaCP roda em Debian e Ubuntu, ambos entre as 15 distribuições em que o agente é testado antes de cada versão (Distribuições suportadas).