Stack hosting: cPanel e CloudLinux
Isolamento CloudLinux CageFS
CageFS avvolge ogni account hosting nel proprio filesystem virtualizzato: gli utenti vedono solo i propri file e una facciata di sistema sicura, mai i dati dei vicini, i file di configurazione o gli strumenti di attacco dimenticati in /tmp. Sui server condivisi trasforma snooping tra account ed escalation locale di privilegi da minacce di routine in casi limite.
Punti chiave
- Abilitare CageFS per impostazione predefinita su ogni nuovo account: l'isolamento opt-out scivola sempre.
- Verificare l'isolamento con test cagefsctl che tentano letture tra account.
- Mantenere CageFS aggiornato insieme al kernel; disallineamenti di versione rompono il velo in silenzio.
- Combinare con versioni PHP per account così le app legacy non possono avvelenare i binari condivisi.
- Monitorare i log di fault CageFS: violazioni ripetute spesso segnalano account compromessi in ricognizione.
- Non escludere nulla dalla cage senza motivo documentato e data di scadenza.
- Abbinare ai limiti LVE: isolamento più cap di risorse è la storia completa del contenimento.
- Verificare la gestione di /tmp e /var/tmp: CageFS li virtualizza per utente per buoni motivi.
Nota dal campo
Lo abiliti per impostazione predefinita su ogni nuovo account e non ci ripensi più. L'isolamento opt-in scivola sempre verso off, e lo scivolamento si scopre durante gli incidenti, mai prima.
Domande frequenti
CageFS rallenta i siti?
In modo trascurabile: l'overhead di virtualizzazione è minimo rispetto alla protezione dai vicini rumorosi che abilita.
Gli utenti vedono ancora i file di sistema?
Solo una facciata sanificata: i propri binari e config sicure, mai dati reali di sistema o dei vicini.
Sostituisce la scansione malware?
No: contiene le epidemie; la scansione le trova e pulisce comunque.
Cosa rompe sotto CageFS?
Script scritti male con percorsi di sistema hardcoded: corretti una volta, correttamente, durante l'onboarding.
Come Kinetikatech aiuta con stack hosting: cpanel e cloudlinux
Lo abbiamo già risolto centinaia di volte: Guide operative per lo stack quotidiano — isolamento CloudLinux, amministrazione cPanel/WHM, forense Exim e tuning LiteSpeed. Con Gestione server e Sicurezza server Linux, ottiene il ciclo completo: valutiamo, implementiamo, vigiliamo 24 ore su 24 e rispondiamo in 30 minuti quando conta.