Protección contra malware en el servidor con Imunify360: qué hace y cómo usarlo
Imunify360 combina firewall, WAF, escáner de malware y Proactive Defense a nivel de PHP en servidores web Linux. Vea qué hace cada parte, qué ajustes importan y una rutina práctica diaria y semanal.
Imunify360 es una suite de seguridad de CloudLinux para servidores web Linux, muy usada en servidores cPanel, que reúne varias capas en un solo producto: un firewall con reputación de direcciones IP, un firewall de aplicaciones web (WAF) basado en reglas de ModSecurity, un escáner de malware capaz de limpiar archivos infectados, Proactive Defense, que vigila los scripts PHP mientras se ejecutan, monitoreo de la reputación de los sitios web y parches del kernel sin reiniciar con KernelCare. Instalarlo es lo fácil; el valor está en elegir los modos correctos y revisar lo que encuentra. Esta guía explica cada componente en términos sencillos, con base en la documentación de CloudLinux, y propone una rutina que puede seguir cada semana.
Qué incluye Imunify360
La documentación de CloudLinux describe estos componentes principales:
| Componente | Qué hace |
|---|---|
| Firewall y listas de IP | Bloquea ataques como la fuerza bruta y la denegación de servicio mediante heurística en la nube, además de listas Negra, Blanca y Gris que usted puede gestionar |
| Detección de intrusiones y WAF | Un conjunto de reglas de "denegación" (basadas en ModSecurity) que bloquean ataques web conocidos, como intentos de explotación y fuerza bruta contra el CMS |
| Malware Scanner | Analiza archivos en busca de malware, incluido el análisis en tiempo real de archivos modificados, y limpia los infectados |
| Proactive Defense | Un módulo de PHP que puede detener el comportamiento malicioso de los scripts PHP en el momento en que ocurre |
| WebShield | Incluye un "Under Attack Mode" que coloca un dominio detrás de un desafío JavaScript durante un ataque |
| Reputation Management | Comprueba si sus sitios web o IP aparecen en listas de bloqueo y le avisa |
| KernelCare | Aplica parches de seguridad al kernel de Linux sin reiniciar |
No todos los niveles de licencia ni todos los servidores incluyen todas las funciones, así que revise lo que muestra su instalación en el menú de Imunify360 dentro de WHM.
Cómo funciona el bloqueo: lista gris, lista negra y el desafío anti-bot
Cuando una dirección IP infringe las reglas de Imunify360, por ejemplo al introducir contraseñas incorrectas repetidamente, Imunify360 la añade a la Gray List (lista gris). Si ese visitante abre su sitio web, ve un desafío anti-bot; si lo supera, sale de la lista gris. Quien reincide vuelve a la lista gris automáticamente.
Este diseño es importante para una empresa: un cliente que se equivoca de contraseña varias veces no queda bloqueado de forma permanente, pero los ataques automatizados se frenan. Además, usted puede:
- Añadir la IP fija de su oficina a la White List (lista blanca) para que su personal nunca vea el desafío.
- Añadir direcciones maliciosas conocidas a la Black List (lista negra) para bloquearlas por completo.
Use la lista blanca con moderación. Una dirección incluida en ella se salta las protecciones, así que no añada rangos completos ni redes que usted no controla.
El escáner de malware
Análisis en tiempo real y bajo demanda
La opción "Automatically scan all modified files" activa el análisis en tiempo real de los archivos que cambian en los directorios DocumentRoot de los usuarios. La documentación advierte que el análisis en tiempo real puede aumentar la carga del servidor y ofrece una opción para optimizarlo en los sistemas de archivos compatibles. Los análisis programados en segundo plano y los análisis bajo demanda de cualquier carpeta cubren el resto.
Revisión y limpieza
En Imunify360 > Malware Scanner, la pestaña Users muestra cada cuenta con su estado de análisis y sus acciones:
- Scan inicia un análisis para ese usuario.
- View Report abre la pestaña Malicious con los resultados más recientes.
- Cleanup intenta limpiar los archivos infectados.
- Restore original devuelve un archivo a su estado anterior a la limpieza, cuando hay una copia disponible.
La pestaña History muestra las acciones automáticas aplicadas a los archivos infectados, y la Ignore List contiene los archivos que usted marcó como falsos positivos.
Importante: la documentación de CloudLinux indica que, a partir de ImunifyAV(+) versión 6.2, se eliminaron las acciones de cuarentena y borrado (Quarantine y Delete) de la interfaz y de la línea de comandos. Las guías antiguas que le piden "poner en cuarentena" un archivo están desactualizadas; trabaje con la limpieza, la restauración y sus propias copias de seguridad.
Limpiar no es todo el trabajo
El escáner elimina el código malicioso que reconoce, pero no le dice cómo entró el atacante. Después de cualquier infección, actualice o elimine el plugin, tema o script vulnerable, cambie las contraseñas de la cuenta y revise si hay usuarios administradores o tareas programadas añadidos.
Proactive Defense
Proactive Defense funciona como un módulo de PHP para Apache y LiteSpeed y analiza lo que realmente hacen los scripts, buscando patrones como inyección de comandos ofuscada, instalación de código malicioso, envío de spam e inyección SQL. Necesita el Hardened PHP de CloudLinux (alt-php) para funcionar.
Tiene tres modos:
- Disabled: esta función no ofrece protección.
- Log Only: la actividad sospechosa se registra, pero no se detiene. Es el modo predeterminado.
- Kill Mode: el script se detiene en cuanto se detecta actividad maliciosa.
Una implementación sensata:
- Déjelo en Log Only durante un tiempo y revise los eventos detectados. Busque scripts legítimos que generen alertas, como plugins personalizados o herramientas de importación.
- Para los falsos positivos reales, use la acción "Move file to Ignore List" del evento, o corrija el código que provoca la alerta.
- Pase a Kill Mode cuando el registro esté limpio y siga revisando los eventos después de cambios importantes en los sitios.
Tenga en cuenta que Proactive Defense solo cubre los sitios que funcionan con Hardened PHP. Los sitios con otras compilaciones de PHP no se benefician de esta función.
Uso diario de Imunify360
Cada día (unos minutos)
- Revise el Dashboard y los Incidents en busca de picos de alertas del WAF, intentos de fuerza bruta o nuevas detecciones.
- Revise las nuevas entradas en la pestaña Malicious del escáner y límpielas o investíguelas.
- Consulte los eventos de Proactive Defense si está en modo Log Only.
Cada semana
- Lea los resultados de Reputation Management. Un dominio o una IP en una lista de bloqueo suele indicar que algo en el servidor está comprometido o enviando spam.
- Revise la lista blanca y elimine las entradas que nadie sepa explicar.
- Confirme que los análisis de malware terminaron para todos los usuarios y que las notificaciones llegan a una persona real.
Después de cada incidente
- Encuentre el punto de entrada (plugin desactualizado, contraseña robada, formulario abusado) y corríjalo.
- Cambie las contraseñas de la cuenta afectada.
- Vuelva a analizar la cuenta para confirmar que no quedó nada.
- Anote brevemente lo ocurrido. Los patrones entre incidentes señalan los verdaderos puntos débiles.
Lo que Imunify360 no reemplaza
Imunify360 es una capa sólida, pero es solo una capa:
- Las copias de seguridad siguen siendo imprescindibles. La limpieza puede fallar, y algunos ataques, como el ransomware o la manipulación de bases de datos, requieren una restauración limpia.
- Las actualizaciones de WordPress, plugins, PHP y el sistema operativo siguen siendo necesarias. El WAF puede bloquear intentos de explotación conocidos, pero solo el parche elimina la debilidad.
- La seguridad de las cuentas (contraseñas sólidas, autenticación multifactor en los paneles de control, llaves SSH) impide que los atacantes simplemente inicien sesión.
Obtenga ayuda para gestionar Imunify360
Core Florida IT administra servidores cPanel con Imunify360 para empresas en Miami-Dade y todo el sur de Florida, con soporte remoto en todo el país. No estamos afiliados a CloudLinux; simplemente usamos y configuramos el producto para nuestros clientes. Si tiene Imunify360 pero nadie revisa sus alertas, o quiere saber si es adecuado para su servidor, solicite una evaluación de TI gratuita.
