Désactiver l’accès au compilateur

Plusieurs failles de sécurité, spécialement sur les serveurs CentOS / RHEL, ont été exploitées par des fichiers exécutables compilés par des utilisateurs ayant peu de privilèges d’accès.
Pour résoudre ce problème, il faut désactiver le compilateur pour les utilisateurs.
Pour désactiver le compilateur, il suffit d’accéder à WHM puis de cliquer sur Security Center Compiler Access Disable Compilers.

Notez qu’il est toutefois possible de donner accès au compilateur à certains utilisateurs seulement.

Activer la protection contre les « Shell Fork Bomb »

Une « fork bomb » est une sorte d’attaque où un processus du système qui se multiplie continuellement et rapidement en plusieurs « sous-instances » jusqu’à ce que toutes les ressources des serveurs soient épuisées. Afin de prévenir ce type d’attaque, il suffit d’activer la protection contre les « fork bombs » en accédant à WHM puis en cliquant sur Security Center Shell Fork Bomb Protection Enable Protection.

Désactiver les accès SSH inutiles

Il est donc primordial de considérer la possibilité de désactiver les accès SSH pour ceux qui n’en ont pas besoin, ou tout simplement l’entièreté des utilisateurs.
Pour désactiver les accès SSH dans WHM, cliquez sur Account Functions Manage Shell Access et sélectionnez « Disabled Shell » pour les utilisateurs désirés. Notez qu’il est possible de désactiver l’accès SSH au moment de la création d’un compte d’utilisateur en décochant l’option « Shell Access ».

Activer la protection cPHulk Brute Force Protection

Afin de prévenir ce type d’attaque, cliquez sur Security Center cPHulk Brute force protection.

• IP Based Brute Force Protection Period in minutes:5 (Écoute dans une période de 5 minutes les logs, + on augmente, + c’est sécurisé).
• Brute Force Protection Period in minutes: 10
• Maximum Failures By Account:10 (C’est la limite avant de bloquer un compte , il est conseillé de la mettre plus haute que la valeur Failures Per IP afin qu’un crackeur ne pas puisse bloquer les comptes )
• Maximum Failures Per IP: 5 (Limite avant de bloquer une adresse IP)
• Maximum Failures Per IP before IP is blocked for two week period: 12
• Cochez les 3 points suivants afin d’être alerté par mail si vous avez des comptes qui se bloquent suite à une attaque !

FTP server configuration

Désactiver la connexion FTP anonyme.
FTP Server Configuration Allow Anonymous Logins & Allow Anonymous Uploads à placer à No (Permet de désactiver la fonction qui autorise un utilisateur non identifié à se connecter et à uploader des fichiers sur le serveur FTP)

PHP open_basedir Tweak

Backdoor : outil de pirate créant une faille de sécurité en maintenant ouvert un port de communication.
PHP open_basedir Tweak et cocher Enable php open_basedir Protection (Cela permet d’empêcher des utilisateurs d’aller avec un backdoor comme par exemple crack.php d’aller dans un dossier autre que le sien).

MySQL Root Password

Il est très conseillé de ne pas utiliser le même mot de passe que celui du ROOT et utiliser un mot de passe comprenant au moins 12 caractères dont des majuscules, minuscule, numériques et caractères spéciaux!
Si le mot de passe ROOT est cassé, le cracker ne pourra pas télécharger vos bases de données ou les supprimer.

Configuration de PHP

Pour renforcer la sécurité avec votre version de PHP, il faut modifier la configuration par défaut.

• Magic_quotes_gpc = off
• Register_global = off
• Safe_mode = off
• Display_errors = off (optionnel)
• Expose_php = off (optionnel)
• Allow_url_fopen = off