Imunify 360 en hosting cPanel

Siempre digo lo mismo, que WordPress es el CMS más hackeado del mercado porque también es el más utilizado. Ahora bien, no te creas que solo se hackean WordPress: actualmente, podemos encontrar problemas de seguridad variados en entornos web de todo tipo.

Precisamente, en este artículo vamos a hablar de Imunify360, un software de seguridad muy potente desarrollado por la gente de CloudLinux. Imunify360 no es un simple antivirus, ya que nos permite proteger una cuenta de hosting aunque el CMS o alguna de las partes del CMS que se ejecuta en ese hosting tenga un fallo de seguridad conocido.



Imunify360 realmente es una completa suite de seguridad que no solo nos permite detectar malware o detectar intrusiones mediante su firewall, sino también filtrar el tráfico de correo electrónico mediante SMTP o detectar comportamientos sospechosos a muy bajo nivel. Al fin y al cabo, los desarrolladores cuentan con la experiencia de haber desarrollado CageFS para CloudLinux.

Evidentemente, en Raiola Networks incorporamos Imunify360 en todos nuestros servidores de hosting que llevan cPanel, incluidos el hosting reseller y el hosting elástico.

No me enrollo más. A continuación, te explico algunas cosas interesantes sobre Imunify360 y protección contra amenazas.



 

Antimalware para cPanel

Una de las principales funciones de Imunify360 es detectar malware en sitios web, además de eliminarlo y "parchear" el sitio para que no deje de funcionar.

A nivel de detección de malware, Imunify360 puede funcionar de dos formas diferentes:

• A demanda, es decir, cuando el usuario entra a su cPanel y solicita un análisis de su cuenta de hosting.


• Mediante "Defensa proactiva", es decir, va analizando todo el tráfico entrante y todos los archivos que se van modificando o creando.

Al combinar estos dos métodos, podemos garantizar que nuestro sitio no está infectado.

El nivel de detección de la defensa proactiva de Imunify360 depende de la configuración establecida por el proveedor de hosting. Cuanto más exigente sea, mayor será el consumo de recursos del antimalware. Por eso, la mayoría de los proveedores buscamos una configuración balanceada. El proveedor de hosting también es el encargado de programar análisis periódicos de las cuentas de hosting alojadas en el servidor.

Por otro lado, si como usuarios queremos hacer un análisis de malware de nuestra cuenta de hosting en busca de amenazas, podemos hacerlo siempre y cuando nuestro proveedor de hosting nos lo permita.
En nuestro caso (en Raiola Networks), desde cPanel nuestros clientes tienen disponible el icono de Imunify, desde donde pueden acceder al escáner y a la interfaz de Imunify360 para usuarios:



Para iniciar un escaneo a demanda, simplemente debemos pulsar el botón "Iniciar análisis":



Recordemos que solo podremos hacer un análisis al mismo tiempo, es decir, una concurrencia de 1.
Esta limitación se pone para evitar un sobreuso de recursos del alojamiento web.



El tiempo de escaneo depende totalmente del contenido de la cuenta de hosting.

Si nos vamos a la pestaña "Escaneo a demanda" podremos ver todos los escaneos pasados y el resultado.



Y en la pestaña "Historial" podremos ver si en algún momento se ha encontrado una infección o malware y los detalles del caso.



Ten en cuenta que en "Historial" también van a salir las infecciones encontradas por el escáner en tiempo real, que puede detectar "cosas" mientras trabajas con tu sitio web.

 

¿Qué hace Imunify con el malware encontrado?

La mayoría de los proveedores tenemos esta parte automatizada ya que, si el usuario del hosting no tiene los conocimientos necesarios para tomar esta decisión, preguntará a soporte. Esto supone una carga extra para el departamento de soporte.

Si nos vamos al icono del engranaje que tenemos arriba a la derecha en la interfaz de Imunify, podremos ver una ventana como esta:



Como puedes ver, desde aquí puedes ver si el proveedor tiene automatizada la acción predeterminada y también configurar que Imunify360 envíe un email cada vez que se detecte malware en el sitio web.

En el caso de los servidores de Raiola Networks, la acción prederminada configurada es "Mandar a cuarentena". Cualquier archivo infectado que se encuentre se enviará a cuarentena y, después, Imunify360 intentará "parchear" para que el sitio web no deje de funcionar, aunque sea una solución provisional y el sitio web requiera ser desinfectado completamente para evitar que vuelva a pasar.

 

Defensa proactiva de Imunify360

Este es uno de los puntos fuertes de Imunify360, la defensa proactiva.

Esta "capa" de protección es una tecnología exclusiva de Imunify que usa varias bases de datos en la nube para detectar y bloquear scripts y procesos con comportamientos extraños o directamente clasificados como malware.

Para hacer esto, la defensa proactiva de Imunify360 analiza el comportamiento de los scripts y procesos PHP en busca de "cosas raras" o de patrones conocidos: código ofuscado, inyecciones de código, etc.

Si tu proveedor de hosting tiene activada esta funcionalidad, como usuario no tienes que hacer nada, simplemente estar tranquilo sabiendo que vas a tener protección contra la mayoría de amenazas conocidas y contra algunas desconocidas.

¿Cómo saber si tu proveedor tiene activa esta funcionalidad en sus servidores? Pues en el panel de control cPanel debes tener esta pestaña:



Normalmente, los "Ajustes de modo" los elige el proveedor. En el caso de Raiola Networks, tenemos Imunify configurado para bloquear la ejecución de cualquier script o proceso que se detecte como malicioso. Aun así, justo debajo puedes ver un listado en donde podremos ver las detecciones realizadas por Imunify360 de forma proactiva.

En el caso de Raiola Networks, todos nuestros servidores con Imunify360 tienen esta funcionalidad activada para garantizar la seguridad de los sitios web de nuestros clientes.

 

Firewall, WAF y Web Shield de Imunify

El Firewall, el WAF y el WebShield de Imunify360 son otra capa de seguridad importante. Estas tres piezas forman una capa compuesta por varios servicios:

• Firewall de red con IDS/IPS: Permite proteger el servidor de IPs atacantes conocidas previamente o que han tenido un comportamiento sospechoso. Esto también aplica a puertos. Aquí también se implica el Imunify PAM, que sirve para bloquear ataques de fuerza bruta contra los servicios IMAP o SMTP.


• Web Shield: Proporciona uno de los sistemas de captcha más eficientes y potentes que existen, junto con un sistema de clasificación de IP sospechosas mediante el que elegimos si mostrarles el captcha o no.


• WAF (Web Application Firewall): Imunify360 añade sus propias reglas de Mod Security al servidor web, pero también permite analizar cualquier subida realizada mediante los formularios de una web y bloquear automáticamente la IP que sube el archivo si este es clasificado como malware.

Toda esta capa de protección coge muchos datos directamente del Cloud de Imunify, es decir, obtiene listas y datos en tiempo real desde los servidores de Imunify para tenerlos siempre actualizados.

 

Protección contra ataques de fuerza bruta de Imunify

Aunque la protección contra ataques de fuerza bruta forma parte del WAF, quiero mencionarla por separado, ya que es una de las "técnicas de protección" más simples y (a la vez) más efectivas.

Los ataques de fuerza bruta son uno de los principales problemas de seguridad de los sitios web, pero el problema va mucho más lejos, ya que un ataque de fuerza bruta también puede ser un problema para el rendimiento.

Desde mi punto de vista, tras llevar 10 años como CEO de un proveedor de hosting y tras 15 años en el mundo web, la protección contra "brute force" de Imunify360 es de las mejores que me he encontrado, ya que es muy eficiente en la detección y casi no consume recursos en el bloqueo.

Cuando empezamos a implementar Imunify en los servidores de Raiola Networks, en mi web WordPress (alvarofontela.com) tenía el plugin Limit Login Attemps Reloaded y todos los días bloqueaba entre 50 y 100 intentos de inicio de sesión erróneos en el wp-admin.

Tras la implementación de Imunify, el contador de Limit Login Attemps Reloaded bajó a 0 porque todo el trabajo de bloqueo lo realizaba directamente Imunify y no se le colaba ni uno.