10 beste fremgangsmåter for å sikre og herde din Apache-webserver

Sikre og herde Apache-nettserveren med følgende beste praksis for å holde nettapplikasjonen din sikker.

Webserveren er en avgjørende del av nettbaserte applikasjoner. Å ha feilkonfigurert og standardkonfigurasjonen kan avsløre sensitiv informasjon, og det er en risiko.

Som nettstedeier eller administrator bør du regelmessig utføre sikkerhetsskanninger mot nettstedet ditt for å finne trusler på nettet, slik at du kan iverksette tiltak før en hacker gjør det.

La oss gå gjennom viktige konfigurasjoner for å beholde din Apache-nettserver.

Å følge all konfigurasjon er i httpd.conf for din apache-forekomst.

Merk: ta en sikkerhetskopi av den nødvendige konfigurasjonsfilen før endring, så gjenoppretting er enkelt når ting går galt.

Deaktiver sporing av HTTP-forespørsel

Standard TraceEnable på tillater TRACE, som ikke tillater enhver forespørselsinstans å følge forespørselen.

TraceEnable off fører til at kjerneserveren og mod_proxy returnerer en 405 (Metode ikke tillatt) feil til klienten.

TraceEnable på tillater sporingsproblem på tvers av nettsteder og gir potensielt muligheten til en hacker å stjele informasjonskapselinformasjonen din.

Løsning

Løs dette sikkerhetsproblemet ved å deaktivere TRACE HTTP-metoden i Apache-konfigurasjon.

Du kan gjøre det ved å endre/legge til direktivet nedenfor i httpd.conf på din Apache Web Server.

TraceEnable off

Kjør som separat bruker og gruppe

Som standard er Apache konfigurert til å kjøre med ingen eller demon.

Ikke sett brukeren (eller gruppen) til å roote med mindre du vet nøyaktig hva du gjør, og hva farene er.

Løsning

Å kjøre Apache i sin egen ikke-root-konto er bra. Endre bruker- og gruppedirektivet i httpd.conf på din Apache-webserver

User apache 
Group apache

Deaktiver signatur

Av-innstillingen, som er standard, undertrykker bunntekstlinjen.

På-innstillingen legger ganske enkelt til en linje med serverversjonsnummeret og servernavnet til den virtuelle verten.

Løsning

Det er greit å deaktivere signatur, siden du kanskje ikke ønsker å avsløre Apache-versjonen du kjører.

ServerSignature Off

Deaktiver banner

Dette direktivet kontrollerer om feltet Server response header, som sendes tilbake til klienter, inkluderer en beskrivelse av den generiske OS-typen til serveren samt informasjon om kompilerte moduler.

Løsning

ServerTokens Prod

Begrens tilgang til et spesifikt nettverk eller IP

Hvis du ønsker at nettstedet ditt kun skal vises med spesifikk IP-adresse eller nettverk, kan du endre nettstedkatalogen i httpd.conf

Løsning

Oppgi nettverksadressen i Tillat-direktivet.

<Directory /yourwebsite>    
Options None    
AllowOverride None    
Order deny,allow    
Deny from all    
Allow from 10.20.0.0/24  
</Directory>

Oppgi IP-adressen i Tillat-direktivet.

<Directory /yourwebsite>
Options None
AllowOverride None
Order deny,allow
Deny from all
Allow from 10.20.1.56
</Directory>

Bruk kun TLS 1.2

SSL 2.0, 3.0, TLS 1, 1.1 lider angivelig av flere kryptografiske feil.

Trenger du hjelp med å konfigurere SSL? se denne veiledningen.

Løsning

SSLProtocol -ALL +TLSv1.2

Deaktiver katalogoppføring

Hvis du ikke har index.html under WebSite Directory, vil klienten se alle filer og underkataloger oppført i nettleseren (som ls –l output).

Løsning

For å deaktivere katalogsurfing kan du enten sette verdien av Option-direktivet til «Ingen» eller «-Indekser»

<Directory />
Options None
Order allow,deny
Allow from all
</Directory>

ELLER

<Directory />
Options -Indexes
Order allow,deny
Allow from all
</Directory>

Fjern unødvendige DSO-moduler

Bekreft konfigurasjonen for å fjerne redundante DSO-moduler.

Det er mange moduler aktivert som standard etter installasjon. Du kan fjerne det du ikke trenger.

Deaktiver null og svak chiffer

Tillat bare sterke chiffer, så du lukker alle dørene som prøver å håndtrykke på lavere chiffersuiter.

Løsning

SSLCipherSuite ALL:!aNULL:!ADH:!eNULL:!LOW:!EXP:RC4+RSA:+HIGH:+MEDIUM

Hold deg oppdatert

Siden Apache er en aktiv åpen kildekode, er den enkleste måten å forbedre sikkerheten til Apache Web Server på å beholde den nyeste versjonen. Nye rettelser og sikkerhetsoppdateringer legges til i hver utgivelse. Oppgrader alltid til den siste stabile versjonen av Apache.

Ovenfor er bare noen av de essensielle konfigurasjonene, og hvis du leter etter dybde, kan du se min trinnvise veiledning for sikkerhet og herding.

Likte du å lese artikkelen? Hva med å dele med verden?