neoks

Сам не особо юзаю панель, но если не ошибаюсь, там нельзя вызвать "curl / wget" в планировщике заданий, если у пользователя нету доступа к bash, или этот косяк исправили ? :)

Вроде есть патч https://forum.vestacp.com/viewtopic.php?f=10&t=16556&start=260#p68893

На другие 10 могли просто не дойти.

Доступ к панели нужно изначально разрешать только для своего IP, Не зависимо от панели, будь то vesta или ispmanager.

Скорее всего заказанный сервер продался как дедик или ушел под спам и чернуху.

gorasul, Мобильный оператор Мегафон ?

Оптимизайка, Как я понимаю даже форма поиска может выполнить код ?

Тогда ставьте Let's Encrypt

Установка

git clone https://github.com/certbot/certbot /opt/certbot

Получение сертификата

/opt/certbot/certbot-auto certonly --webroot -w /var/www/user/data/www/example.com -d example.com -d www.example.com

В крон ставите - (это будет автоматически продлевать полученные выше сертификаты)

0 0 1 * * /opt/certbot/certbot-auto renew --dry-run

Шаблон nginx-ssl в ISPManager измените так, что-бы сертификаты брались по этим путям

Certificate Path: /etc/letsencrypt/live/example.com/fullchain.pem
Private Key Path: /etc/letsencrypt/live/example.com/privkey.pem

Либо просто поставьте символические ссылки
ln -s /etc/letsencrypt/live/example.com/fullchain.pem /var/www/httpd-cert/user/example.com.crt
ln -s /etc/letsencrypt/live/example.com/privkey.pem /var/www/httpd-cert/user/example.com.key

И собственно все, 10 минут настроек + по минуте на получение сертификата для каждого домена.

Как я понимаю у вас есть доступ root и возможность установить любой софт на сервер ?

Не заметил данные метрики, в данном случаи можно включить проверку с "часовым/суточным" лимитом запросов + вывод reCAPTCHA на заглушке, это остеит ботов понимающих JS.

Но в этом случаи есть шанс отправить вместе с IP и белых пользователей за NAT.

Есть reCAPTCHA с возможностью устанавливать время через которое потребуется снова пройти заглушку.

1) IP ДЦ можно заносить в iptables без угрызения совести, если только это IP не vpn сервиса, такие лучше проверять обычной схемой, потому что белый пользователи тоже юзают vpn.

2) IP интернет провайдеров лучше не блокировать, или блокировать на короткий промежуток времени.