Licencja cxs — ConfigServer eXploit Scanner

O sile cxs decyduje nie tyle długość listy sygnatur, co moment reakcji. Przy nocnym skanowaniu shell wgrany o trzeciej nad ranem ma kilka godzin na swoją robotę; demon nasłuchujący czyta zmiany w systemie plików prosto z jądra (inotify) i ogląda plik w chwili zapisu — niezależnie od tego, czy przyszedł z formularza HTTP, przez FTP, czy ze skryptu już działającego na maszynie. Reguły pisano pod hosting: shelle PHP, kod zaciemniony, gotowe zestawy phishingowe, skrypty do wysyłki spamu, znane podatne pliki wtyczek. Trafiony plik można przenieść do kwarantanny, tylko zapisać do przeglądu albo zgłosić właścicielowi konta — co się z nim stanie, ustalasz w konfiguracji. Największy pożytek daje na serwerach współdzielonych i resellerskich, gdzie pliki wgrywane są bez przerwy, na maszynach pełnych instalacji WordPressa i wszędzie tam, gdzie przyjmujesz pliki od klientów.

Zamówienie jest krótkie: podajesz IP serwera, kwota schodzi z przedpłaconego salda, a licencja zwykle działa w niecałą minutę — po drodze nie ma etapu akceptacji. Na serwerze uruchamiasz jedno polecenie instalacyjne, a ponieważ skrypt weryfikuje licencję po adresie IP, nie masz żadnego kodu ani pliku klucza do przechowywania. Przy wymianie sprzętu albo przeprowadzce do innego dostawcy sam wpisujesz nowy adres w panelu, a stary przestaje działać w tej samej chwili — bez zgłoszenia i bez czekania na kogokolwiek. Saldo doładowane kryptowalutą księguje się automatycznie, przelew bankowy potwierdza człowiek. Jeśli prowadzisz kilkadziesiąt serwerów, oddaj cały cykl życia licencji do REST API — tworzenie, odnawianie, zawieszanie, zmiana adresu — i wywołuj je z własnego skryptu instalacyjnego. Każde wywołanie razem z wynikiem trafia do historii konta, więc łatwo później sprawdzić, która licencja pracuje na której maszynie.

Zanim zaczniesz instalację, warto wiedzieć kilka rzeczy. Po pierwsze, cxs jest skanerem, a nie firewallem: ogląda pliki, nie blokuje prób logowania ani ataków sieciowych. Po drugie, nasłuch w czasie rzeczywistym widzi wyłącznie pliki zapisane po jego starcie, więc zaraz po instalacji zrób jedno ręczne pełne skanowanie tego, co już leży na dysku, a potem zaplanuj skanowania cykliczne obok pracującego nasłuchu. Po trzecie, na serwerach z bardzo dużą liczbą obserwowanych katalogów może być konieczne podniesienie limitu obserwatorów w jądrze, a pełne skanowanie obciąża dysk i procesor — trzymaj je poza godzinami szczytu. Przed zamówieniem sprawdź, czy Twój panel i dystrybucja Linuksa są obsługiwane; jeśli nie masz pewności, po prostu zapytaj. Licencjonowanie jest na serwer i przypisane do jednego adresu; licencja miesięczna działa do końca opłaconego okresu, automatyczne odnawianie wyłączysz w panelu, nie ma okresu zobowiązania ani opłaty za rezygnację.