Apache安全配置基线指导

本文提供了针对Apache服务器的安全配置标准,适用于2.0.x及2.2.x版本,涵盖日志配置、访问权限管理、防攻击措施等方面。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

本文规定了维护工程师所维护管理的Apache服务器应当遵循的安全性设置标准,本文档旨在指导系统管理人员进行Apache服务器的安全配置。本文档适用的版本2.0.x、2.2.x版本的Apache服务器。

 

第1章           日志配置操作

1.1   日志配置

1.1.1      审核登录

安全基线项目名称

Apache审核登录策略安全基线要求项

安全基线编号

SBL-Apache-02-01-01

安全基线项说明 

设备应配置日志功能,对运行错误、用户访问等进行记录,记录内容包括时间,用户使用的IP地址等内容。

检测操作步骤

1、参考配置操作

编辑httpd.conf配置文件,设置日志记录文件、记录内容、记录格式。

LogLevel notice

ErrorLog logs/error_log

LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Accept}i\" \"%{Referer}i\" \"%{User-Agent}i\"" combined

CustomLog logs/access_log combined

ErrorLog指令设置错误日志文件名和位置。错误日志是最重要的日志文件,Apache httpd将在这个文件中存放诊断信息和处理请求中出现的错误。若要将错误日志送到Syslog,则设置:ErrorLog syslog。

CustomLog指令设置访问日志的文件名和位置。访问日志中会记录服务器所处理的所有请求。

LogFormat设置日志格式。LogLevel用于调整记录在错误日志中的信息的详细程度,建议设置为notice。

基线符合性判定依据

1、判定条件

查看logs目录中相关日志文件内容,记录完整。

2、检测操作

查看相关日志记录。

3、补充说明

备注

 

第2章           设备其他配置操作

2.1    访问权限

2.1.1      禁止访问外部文件

安全基线项目名称

Apache目录访问权限安全基线要求项

安全基线编号

SBL-Apache-03-01-01

安全基线项说明 

禁止Apache访问Web目录之外的任何文件。

检测操作步骤

1、参考配置操作

编辑httpd.conf配置文件,

<Directory />

Order Deny,Allow

Deny from all

</Directory>

2、补充操作说明

设置可访问目录,

<Directory /web>

Order Allow,Deny

Allow from all

</Directory>

其中/web为网站根目录。

基线符合性判定依据

1、判定条件

无法访问Web目录之外的文件。

2、检测操作

访问服务器上不属于Web目录的一个文件,结果应无法显示。

3、补充说明

备注

 

2.2   防攻击管理

2.2.1      错误页面处理

安全基线项目名称

Apache错误页面安全基线要求项

安全基线编号

SBL-Apache-03-02-01

安全基线项说明 

Apache错误页面重定向

检测操作步骤

1、参考配置操作

(1) 修改httpd.conf配置文件:
ErrorDocument 400 /custom400.html

ErrorDocument 401 /custom401.html

ErrorDocument 403 /custom403.html

ErrorDocument 404 /custom404.html

ErrorDocument 405 /custom405.html

ErrorDocument 500 /custom500.html

Customxxx.html为要设置的错误页面。

(2)重新启动Apache服务

基线符合性判定依据

1、判定条件

指向指定错误页面

2、检测操作

URL地址栏中输入http://ip/xxxxxxx~~~(一个不存在的页面)

备注

 

2.2.2      目录列表访问限制

安全基线项目名称

Apache目录列表安全基线要求项

安全基线编号

SBL-Apache-03-02-02

安全基线项说明 

禁止Apache列表显示文件

检测操作步骤

1、参考配置操作

(1) 编辑httpd.conf配置文件, 
<Directory "/web">

Options FollowSymLinks   

AllowOverride None   

Order allow,deny

Allow from all

</Directory>
将Options Indexes FollowSymLinks中的Indexes 去掉,就可以禁止 Apache 显示该目录结构。Indexes 的作用就是当该目录下没有 index.html文件时,就显示目录结构。

 (2)设置Apache的默认页面,编辑%apache%\conf\httpd.conf配置文件,

<IfModule dir_module>

    DirectoryIndex index.html

</IfModule>

其中index.html即为默认页面,可根据情况改为其它文件。

(3)重新启动Apache服务

基线符合性判定依据

1、判定条件

当WEB目录中没有默认首页如index.html文件时,不会列出目录内容

2、检测操作

直接访问http://ip:8800/xxx(xxx为某一目录)

备注

 

2.2.3      拒绝服务防范

安全基线项目名称

Apache拒绝服务防范安全基线要求项

安全基线编号

SBL-Apache-03-02-03

安全基线项说明 

拒绝服务防范。

检测操作步骤

1、参考配置操作

(1) 编辑httpd.conf配置文件, 
Timeout 10 KeepAlive On

KeepAliveTimeout 15

AcceptFilter http data

AcceptFilter https data

 (2)重新启动Apache服务

基线符合性判定依据

1、判定条件

2、检测操作

检查配置文件是否设置。

备注

 

2.2.4      删除无用文件

安全基线项目名称

Apache无用文件安全基线要求项

安全基线编号

SBL-Apache-03-02-04

安全基线项说明 

删除缺省安装的无用文件。

检测操作步骤

1、参考配置操作

删除缺省HTML文件:

# rm -rf /usr/local/apache2/htdocs/*

删除缺省的CGI脚本:

# rm –rf /usr/local/apache2/cgi-bin/*

删除Apache说明文件:

# rm –rf /usr/local/apache2/manual

删除源代码文件:

# rm -rf /path/to/httpd-2.2.4*

根据安装步骤不同和版本不同,某些目录或文件可能不存在或位置不同。

基线符合性判定依据

1、判定条件

2、检测操作

检查对应目录。

备注

 

2.2.5      隐藏敏感信息

安全基线项目名称

Apache隐藏敏感信息安全基线要求项

安全基线编号

SBL-Apache-03-02-05

安全基线项说明 

隐藏Apache的版本号及其它敏感信息。

检测操作步骤

1、参考配置操作

修改httpd.conf配置文件:

  ServerSignature Off

  ServerTokens Prod

基线符合性判定依据

1、判定条件

2、检测操作

检查配置文件。

备注

 



来源:http://blog.chinaunix.net/uid-25723371-id-3291505.html

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

lsyou_2000

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值