3.4.0

Bản phát hành nền tảng: cô lập tài nguyên, sao lưu và bảo mật được xây trên ngăn xếp mã nguồn mở mà panel đã chạy, tất cả nằm trong CLI Rust (hitechcloud-rustcli, bắt buộc từ phiên bản này).

Nền tảng Tài nguyên & Cô lập​

• HiTech Resource Engine (hitechcloudcli native-limits): các giới hạn gói trên slice systemd của mỗi tài khoản như trước, cộng với ghi đè theo từng tài khoản (override <acct> cpu= ram= swap= nproc= io_read= io_write= iops= burst=), mức sử dụng trực tiếp (CPU %, bộ nhớ, swap, byte/thao tác IO, tác vụ, tiến trình vào, kết nối TCP, tệp đang mở - usage [--json]), lịch sử (trung bình 1m/5m/15m, đỉnh, bộ đếm vi phạm, điểm lạm dụng) và một timer chính sách mỗi phút: một vi phạm được ghi nhật ký và gửi tới native-event, một người vi phạm lặp lại bị hạn chế xuống một nửa CPU trong mười phút, và một tài khoản có điểm lạm dụng liên tục tăng chỉ bị tạm ngưng khi RESOURCE_POLICY_SUSPEND=on. Hoạt động trên cgroup v1 (AlmaLinux 8) và v2.
• Jail tài khoản bằng Rust (hitechcloud-jail): cùng hệ thống tệp riêng và không gian tên PID, giờ với một môi trường sạch (shell không còn kế thừa của root), hidepid=invisible trên /proc, các khả năng ambient bị xoá, shell nằm trong slice của tài khoản (các giới hạn CPU/RAM của nó cũng áp dụng cho terminal), mã thoát đúng và không còn thư mục jail dư. native-jail harden đặt các sysctl SecureLinks và ptrace; native-jail status báo cáo chúng.
• Cron job chạy bên trong jail: mỗi tài khoản nhận quy tắc sudoers cho phép nó mở jail riêng; panel bọc mỗi job được quản lý trong đó.
• Một php-fpm master cho mỗi tài khoản (hitechcloudcli native-fpm enable): các worker PHP của mọi website chạy bên trong slice của tài khoản chúng, nên các giới hạn gói và bộ máy chính sách bao phủ chúng - native-limits verify báo cáo all processes inside the slice. Các bản cài mới khởi động theo cách này; các máy chủ đã cập nhật chọn tham gia bằng một lệnh. Các instance Varnish và memcached của tài khoản và các ứng dụng Node/Python/Ruby/Java của nó cũng vào slice.
• PHP Selector theo từng tài khoản: phiên bản một tài khoản chọn trên PHP > Default version là của riêng nó (trước đây nó đổi mặc định toàn máy chủ cho mọi người), và là phiên bản mà shell, cron job và các website mới của nó nhận. native-phpselector show|set|resolve|binary.
• Bảo mật runtime (kiểu HardenedPHP): native-phpselector security và một bảng Runtime security trên trang PHP - trạng thái hỗ trợ và ngày hết vòng đời cho mỗi phiên bản đã cài, mức vá, bản build có phải gói legacy đã vá của mirror hay không, một điểm 0-100; native-phpselector audit <acct> cho các website của một tài khoản.
• Runtime Selector (hitechcloudcli native-runtime): các phiên bản Node.js từ nodejs.org (xác minh SHA256), Python, Java và Ruby từ bản phân phối, cạnh nhau dưới /opt/hitechcloud/runtimes; trình cài đặt ứng dụng đưa ra mọi phiên bản đã cài và chạy ứng dụng bằng phiên bản đã chọn.
• DB Governor (native-dbgovernor, 3.3.x) giữ timer một phút của nó; bản cập nhật bật nó ở nơi có cơ sở dữ liệu.

Nền tảng Sao lưu​

• Sao lưu kho bằng restic (hitechcloudcli native-backup): BACKUP_ENGINE=restic - chọn được trên trang Backup schedule - giữ một kho đã khử trùng lặp và mã hoá cho mỗi tài khoản (cục bộ do root sở hữu, SFTP hoặc S3 từ cài đặt đích của tài khoản); mỗi lần chạy là một snapshot, lưu giữ là forget --prune, --verify và một lần tự kiểm tra hằng tuần đọc lại dữ liệu, các điểm khôi phục xuất hiện cạnh các chuỗi tar và khôi phục qua cùng trang. Các chuỗi tar vẫn là mặc định.
• Sao lưu bất biến và DR: BACKUP_IMMUTABLE=on cho một kho từ xa chỉ-nối-thêm (S3 Object Lock, rest-server --append-only) - không gì bị dọn từ máy chủ, nên ransomware trên máy không thể lấy mất các bản sao lưu cùng; DR_REPOSITORY sao chép mọi snapshot sang một kho thứ hai (native-backup replicate, --dr trên snapshots/check/restore).
• Đã sửa: user-backupset treo mãi trên một tài khoản không có vai trò PostgreSQL (psql chờ mật khẩu trên stdin của bên gọi); email-quotas chưa bao giờ chown một thư mục thư nào.

Nền tảng Bảo mật​

• Dải rủi ro WAF: trên điểm số quy tắc, theo từng máy chủ và từng website - RISK_MONITOR (một yêu cầu được phục vụ vẫn được ghi nhật ký), RISK_BLOCK (một thử thách trở thành một lần chặn), RISK_BAN (địa chỉ bị cấm) - và một lệnh cấm lũy tiến: BAN_AFTER lần chặn trong BAN_WINDOW sẽ cấm địa chỉ trong BAN_SECONDS (mặc định 10 trong 5 phút cho 10 phút). Các địa chỉ bị cấm bị từ chối trước giới hạn tần suất và các quy tắc. hitechcloudcli native-waf risk <domain> hiển thị và đặt các bậc.
• Security Center trên HiTechAdmin > Website Firewall: 24 giờ qua trên mọi website được bảo vệ (sự kiện, đã chặn, đã thách thức, lệnh cấm, bị giới hạn tần suất, được giám sát), các địa chỉ / quy tắc / thẻ tấn công / đường dẫn hàng đầu, và các địa chỉ đang bị cấm ngay lúc này với Lift ban. native-waf stats, native-waf bans, native-waf unban.
• Đã sửa: tường lửa trả lời 502 cho mọi yêu cầu tới một website do Caddy, Lighttpd, H2O hoặc Cherokee phục vụ (bản đồ nguồn của nó chỉ biết ba engine).

Cache​

• Thẻ cache: các tiêu đề Cache-Tag / X-Cache-Tags / xkey / Surrogate-Key của ứng dụng được giữ trên các đối tượng đã lưu đệm, và hitechcloudcli native-varnish purge <domain> --tag <tag> bỏ đúng các trang mang thẻ đó (một sản phẩm, một bài viết) thay vì cả website. native-varnish warm <domain> lấy các trang của sitemap để cache giữ chúng trước khi khách hỏi.

CLI​

• Hai mươi bảy lệnh giờ chạy bằng Rust (hitechcloud-rustcli ported), gồm gitdeploy-list, gitdeploy-key, websites-all, websites-user, domains-all, php-domain, user-loginlog, email-quotas, mỗi lệnh giống hệt từng byte so với tập lệnh nó thay thế. Trình cập nhật làm mới hitechcloud-rustcli cùng các tệp nhị phân panel.
• version/3.4.0/UPDATE.sh di chuyển các máy chủ hiện có: sudoers jail cho mọi tài khoản, các sysctl cô lập, các mẫu, các VCL Varnish, các giới hạn gói được áp dụng lại, các timer Resource Engine và DB Governor, tường lửa được khởi động lại, restic được cài; PHP-FPM theo từng tài khoản để cho quản trị viên (hitechcloudcli native-fpm enable, hoặc HITECHCLOUD_UPDATE_FPM_PER_ACCOUNT=1 lúc cập nhật).