[SilveraR]

Aviso:

El siguiente manual no me pertenece, pertenece a http://webhostingtalk.com/showthread.php?t=468168. La traducción en español es propia y por lo tanto, puede contener errores, si Usted encuentra alguno, notifiquemelo.

Usted es el único responsable de los daños causados al realizar lo que aquí se aconseja. Acepta haber leido este aviso y continuar la lectura del manual.

ASEGURANDO CPANEL - WHM Y SU SERVIDOR


**************************************
REVISANDO FORMMAIL
**************************************


FormMail es usado por hackers para enviar spam, para relays, y metodos de inyección.

- Comando para encontrar correos "pesky":

find / -name "[Ff]orm[mM]ai*"

- CGIemail también es un riesgo de seguridad:

find / -name "[Cc]giemai*"

- Comando para inhabilitar correos del formulario:

chmod a-rwx /path/to/filename

**************************************
ROOT KIT CHECKER www.chkrootkit.org
**************************************

Es una pequeña herramienta capaz de detectar un gran número de "rootkit" realizando comprobaciones en busca de binarios del sistema que hayan podido ser modificados. Se distribuye con las fuentes bajo una licencia libre poco restrictiva.


Para instalar chkrootkit debe de logearse en su servidor SSH como root.


Ejecute los siguientes comandos:


cd /root/
wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz
tar xvzf chkrootkit.tar.gz
cd chkrootkit-0.44
make sense


Para iniciar chkrootkit


/root/chkrootkit-0.44/chkrootkit


*************************************************
Instale un detector de acceso root y advertencia por e-mail
*************************************************


Si alguien consigue acceder a su acceso root, será avisado rapidamente y además podrá conseguir por lo menos la IP address del atacante y saber si hay alguien en su acceso root.

Escriba los siguientes comandos:

pico .bash_profile

Baje un poco sobre el archivo y agregue la siguiente línea:

echo 'ALERT - Root Shell Access on:' `date` `who` | mail -s "Alert: Root Access from `who | awk '{print $6}'`" tumail@fueradelserver.com

Salva el archivo y cierralo.

Configura un mensaje legal SSH:

- Logeate como root y tipea los siguientes comandos:

pico /etc/motd

Ingrese su mensaje, salve el archivo y cierrelo.

*******************************************
MÁS MEDIDAS DE SEGURIDAD
*******************************************


Restringa el acceso SSH:

- Logeate como root y tipea los siguientes comandos:

pico /etc/ssh/sshd_config

Baje un poco del archivo y vea esta sección:

#Port 22
#Protocol 2, 1
#ListenAddress 0.0.0.0
#ListenAddress ::

Borre y cambie:

#Port 22
para colocar
Port 5678 (puedes elegir un puerto entre 4 ó 5 digitos (49151 es el numero de puerto más alto Y no utiliza el 5678)

Borre y cambie:

#Protocol 2, 1
a tu gusto
Protocol 2

Borre y cambie:
ListenAddress 0.0.0.0
a tu gusto
LstenAddress 123.123.123.15 (Usa una de las direcciones IP asignadas a su servidor).

Si tu no quieres permitir el login root busca la sección:

#PermitRootLogin yes
y cambialo a "no"
PermitRootLogin no

Salva el fichero presionando Ctrl x

Deshabilitar cuentas shells

Logeese en su servidor como usuario root y siga las siguientes instrucciones.

locate shell.php
locate irc
locate eggdrop
locate bnc
locate BNC
locate ptlink
locate BitchX
locate guardservices
locate psyBNC
locate .rhosts

Nota: Habrá varios listados que estarán relacionados con el OS/Cpanel. Los ejemplos son:

/home/cpapachebuild/buildapache/php-4.3.1/ext/ircg
/usr/local/cpanel/etc/sym/eggdrop.sym
/usr/local/cpanel/etc/sym/bnc.sym
/usr/local/cpanel/etc/sym/psyBNC.sym
/usr/local/cpanel/etc/sym/ptlink.sym
/usr/lib/libncurses.so
/usr/lib/libncurses.a
etc.

*******************************************
INSTALE BFD
*******************************************

Para instalar BFD logeese en su servidor como root y escriba los siguientes comandos.

cd /root/
wget http://www.rfxnetworks.com/downloads/bfd-current.tar.gz
tar -xvzf bfd-current.tar.gz
cd bfd-0.4
./install.sh

Luego de haber instalado BFD, ejecute el siguiente comando:

pico /usr/local/bfd/conf.bfd

Busque:
ALERT_USR="0"
y cambie esto por
ALERT_USR="1"

Busque:
EMAIL_USR="root"
y cambie esto por
EMAIL_USR="your@email.com"

Salve el archivo y cierrelo.

Para iniciar APF Firewall ejecute el siguiente comando:

/usr/local/sbin/bfd -s


*******************************************
DESHABILITE PUERTOS INNECESARIOS
*******************************************

El manual continuará.

Primera parte finalizada.

Porfavor, no realizar comentarios hasta no estár finalizada.

[SilveraR]

Continuamos con "Deshabilitar puertos innecesarios".

Lo recomendable es que haga una copia de seguridad de su archivo:

cp /etc/services /etc/services.original

En un sistema típico de CPanel Usted vería algo como esto:

<?php
tcpmux 1/tcp # TCP port service multiplexer
echo 7/tcp
echo 7/udp
ftp-data 20/tcp
ftp 21/tcp
ssh 22/tcp # SSH Remote Login Protocol
smtp 25/tcp mail
domain 53/tcp # name-domain server
domain 53/udp
http 80/tcp www www-http # WorldWideWeb HTTP
pop3 110/tcp pop-3 # POP version 3
imap 143/tcp imap2 # Interim Mail Access Proto v2
https 443/tcp # MCom
smtps 465/tcp # SMTP over SSL (TLS)
syslog 514/udp
rndc 953/tcp # rndc control sockets (BIND 9)
rndc 953/udp # rndc control sockets (BIND 9)
imaps 993/tcp # IMAP over SSL
pop3s 995/tcp # POP-3 over SSL
cpanel 2082/tcp
cpanels 2083/tcp
whm 2086/tcp
whms 2087/tcp
webmail 2095/tcp
webmails 2096/tcp
mysql 3306/tcp # MySQL
?>

*********************************
CREE UNA CONTRASEÑA ROOT
*********************************

Desde root en su WHM, WHM Server Setup -> Set MySQL Root Password.
Cree una contraseña nueva y root.

*********************************
OPTIMIZANDO MYSQL
*********************************
Estas son mis sugerencias de configuranción de el archivo my.cnf . Esto es recomendable para un servidor dedicado con memoria de 256 a 512MB.

[mysqld]
max_connections = 250
key_buffer = 16M
myisam_sort_buffer_size = 32M
join_buffer_size = 1M
read_buffer_size = 1M
sort_buffer_size = 2M
table_cache = 1024
thread_cache_size = 286
interactive_timeout = 25
wait_timeout = 1000
connect_timeout = 10
max_allowed_packet = 16M
max_connect_errors = 10
query_cache_limit = 1M
query_cache_size = 16M
query_cache_type = 1
tmp_table_size = 16M
skip-innodb

[mysqld_safe]
open_files_limit = 8192

[mysqldump]
quick
max_allowed_packet = 16M

[myisamchk]
key_buffer = 32M
sort_buffer = 32M
read_buffer = 16M
write_buffer = 16M

Luego, le recomiendo instalar mytop para supervisar los usos y procesos.

wget http://dll.elix.us/mytop-1.4.tar.gz

tar -zxvf mytop-1.4.tar.gz
cd mytop-1.4
perl Makefile.PL
make
make test
make install

***************************
OPTIMIZACIÓN DE APACHE Y PHP
***************************

Mis sugerencias para el archivo httpd.conf son:

Timeout 200
KeepAlive On
maxKeepAliveRequests 100
KeepAliveTimeout 3
MinSpareServers 10
MaxSpareServers 20
StartServers 15
MaxClients 250
MaxRequestsPerChild 0
HostnameLookups Off

Usted puede encontrar la cantidad de conexiones a Apache con este comando:

netstat -nt | grep :80 | wc -l

Para encontrar la cantidad de procesos de Apache que utilice este comando:

ps -A | grep httpd | wc -l (esto demostrará la cantidad de procesos)
ps -aux | grep httpd (esto mostrará los actuales procesos)

Para encontrar la cantidad de procesos de MySQL utilice este comando:

ps -A | grep mysql | wc -l (esto demostrará la cantidad de procesos)
ps -aux | grep mysql (esto mostrará los actuales procesos)

Si tu quieres saber los logs de errores, ejecuta este comando:

cat /usr/local/apache/logs/error_log

2da parte finalizada.

Continuará.

[SilveraR]

**********************
Un par de comandos
**********************

who
Para saber los usuarios logeados en la máquina.

history | more
Para saber los procesos que has ejecutado anteriormente con ese usuario.

hostname
Imprime el nombre del servidor.

whoami
Imprime tu nombre de usuario.
ps
Lista todos los procesos que están corriendo en ese usuario.

FIN DEL MANUAL

PALABRAS DEL TRADUCTOR:

Buenos Días,

Espero que les haya gustado la traducción, y espero que en la misma no haya errores. Hay demasiado textos en el artículo original, por lo que he decidido sólo traducir algunas partes más interesantes e importantes. Si crees que me he olvidado de alguna, porfavor sólo notificamelo, y haré lo posible para traducirla inmediatamente.

Espero además que este manual sea educativo para todos, y todos podamos sacar provecho de el, hay muchos manuales, muchos en inglés, debemos de tratar de traducir la mayoría, nosotros merecemos tener manuales en español. En esta sección de resellers y vps , entre otras, trataré de traducir los que encuentre. Así también, te invito y te doy ánimo a que si encuentras alguno, y tienes ganas puedas traducirlo y postearlo aquí.

Así lograremos tener una super biblioteca de libros técnicos, junto con otros.

Puedes realizar comentarios del manual, así como también aquellas dudas que tengas.

Muchas Gracias,
Nicolás.

[MrTeck]

Buen trabajo SilveraR.
Solamente un par de apuntes... en la instalacion del APF falta configurar los puertos:
Para servidor cPanel:
pico /etc/apf/conf.apf

# Common ingress (inbound) TCP ports -3000_3500 = passive port range for Pure FTPD
IG_TCP_CPORTS="21,22,25,53,80,110,143,443,2082,208 3, 2086,2087, 2095, 2096,3000_3500"
#
# Common ingress (inbound) UDP ports
IG_UDP_CPORTS="53"

Recordad que si cambiais el puerto SSH debereis incluirlo dentro de IG_TCP_CPORTS

Para servidor Plesk:
pico /etc/apf/conf.apf

# Common ingress (inbound) TCP ports
IG_TCP_CPORTS="21,22,25,80,106,110,143,443,465,783 ,953,993,995,8443,8880,30000_65534"

# Common ingress (inbound) UDP ports
IG_UDP_CPORTS="53"

# Common ICMP (inbound) types
# 'internals/icmp.types' for type definition; 'all' is wildcard for any
IG_ICMP_TYPES="3,5,11,0,30,8"

Recordad que si cambiais el puerto SSH debereis incluirlo dentro de IG_TCP_CPORTS

Ademas, siempre seria recomendable provarlo antes en modo test, pues no esta correctamente configurado puede bloquearte el acceso y necesitar ayuda del NOC.

Para hacer esto:
pico /etc/apf/conf.apf
Busca la linea donde ponga DEVM="0" y cambialo por DEVM="1".
De esta forma, cada 5 minutos se reseteará y en caso de incidencia solo habra que esperar 5 minutos.
Una vez este todo configurado y funcionando ok, volved al estado DEVM="0"

Tambien hay que tener en cuenta que, si se esta tratando de un VPS , lo mas seguro es que tenga que cambiar el adaptador en la configuracion a IF="venet0"

Saludos!

[SilveraR]

Genial Mr, ha quedado perfecto ahora.

Muchas gracias

[Emulatron]

Y en cuanto a las cuentas, como se puede "parchear" un servidor de modo que un alojado sólo pueda entrar en /home/suweb/ ?? osea que no se pueda meter en / o /home/ (esto por defecto en cPanel no se puede) o en otras cuentas de usuarios. Es algo que me fastidia un poco que cotilleen mis cosas o las de otras personas. Alguien sabe como hacer eso?

Saludos.

[bandido]

chmod -R 711 /loquesea

Con esto evitas que lean el contenido.

[Webhostingforo.com]

Buen manual

Solo le veo un detalle (a simple vista)
La configuración de my.cnf. recomiendas eso para un vps de 256 a 512 MB
Sin embargo 400 conexiones simultaneas son palabras mayores por lo que recomiendo bajar ese número a termimos más realistas o el servidor se quedará sin memoria mucho antes de llegar al límite de conexiones

Manejar 400 conexiones simultaneas requiere de potencia de hardware dificilmente un vps aguantará mas de 100

[SilveraR]

Iniciado por Webhostingforo.com

La configuración de my.cnf. recomiendas eso para un vps de 256 a 512 MB

Lo siento, yo no lo recomiendo, sino su propio autor, que lo puedes ver en WHT.

Esta guía estába dedicada para un VPS , aunque he decidido que lo mejor sea para un servidor dedicado, es por eso que cambiaré algunas partes donde se mencione a un vps .

Muchas gracias por avisar.

[Webhostingforo.com]

Si ya lo ví e hice el también el comentario en WHT