Apache安全配置基线指导,apache基线指导本文档适用的版本2.


本文规定了维护工程师所维护管理的Apache服务器应当遵循的安全性设置标准，本文档旨在指导系统管理人员进行Apache服务器的安全配置。本文档适用的版本2.0.x、2.2.x版本的Apache服务器。


第1章日志配置操作


1.1日志配置


1.1.1审核登录


安全基线项目名称

Apache审核登录策略安全基线要求项

安全基线编号

SBL-Apache-02-01-01

安全基线项说明

设备应配置日志功能，对运行错误、用户访问等进行记录，记录内容包括时间，用户使用的IP地址等内容。

检测操作步骤

1、参考配置操作


编辑httpd.conf配置文件，设置日志记录文件、记录内容、记录格式。


LogLevel notice


ErrorLog logs/error_log


LogFormat "%h %l %u %t "%r" %>s %b "%{Accept}i" "%{Referer}i" "%{User-Agent}i"" combined


CustomLog logs/access_log combined


ErrorLog指令设置错误日志文件名和位置。错误日志是最重要的日志文件，Apache httpd将在这个文件中存放诊断信息和处理请求中出现的错误。若要将错误日志送到Syslog，则设置：ErrorLog syslog。


CustomLog指令设置访问日志的文件名和位置。访问日志中会记录服务器所处理的所有请求。


LogFormat设置日志格式。LogLevel用于调整记录在错误日志中的信息的详细程度，建议设置为notice。

基线符合性判定依据

1、判定条件


查看logs目录中相关日志文件内容，记录完整。


2、检测操作


查看相关日志记录。


3、补充说明

备注

第2章设备其他配置操作


2.1访问权限


2.1.1禁止访问外部文件


安全基线项目名称

Apache目录访问权限安全基线要求项

安全基线编号

SBL-Apache-03-01-01

安全基线项说明

禁止Apache访问Web目录之外的任何文件。

检测操作步骤

1、参考配置操作


编辑httpd.conf配置文件，


<Directory />


Order Deny,Allow


Deny from all


</Directory>


2、补充操作说明


设置可访问目录，


<Directory /web>


Order Allow,Deny


Allow from all


</Directory>


其中/web为网站根目录。

基线符合性判定依据

1、判定条件


无法访问Web目录之外的文件。


2、检测操作


访问服务器上不属于Web目录的一个文件，结果应无法显示。


3、补充说明

备注

2.2防攻击管理


2.2.1错误页面处理


安全基线项目名称

Apache错误页面安全基线要求项

安全基线编号

SBL-Apache-03-02-01

安全基线项说明

Apache错误页面重定向

检测操作步骤

1、参考配置操作


(1)修改httpd.conf配置文件：


ErrorDocument 400 /custom400.html


ErrorDocument 401 /custom401.html


ErrorDocument 403 /custom403.html


ErrorDocument 404 /custom404.html


ErrorDocument 405 /custom405.html


ErrorDocument 500 /custom500.html


Customxxx.html为要设置的错误页面。


(2)重新启动Apache服务

基线符合性判定依据

1、判定条件


指向指定错误页面


2、检测操作


URL地址栏中输入http://ip/xxxxxxx~~~（一个不存在的页面）

备注

2.2.2目录列表访问限制


安全基线项目名称

Apache目录列表安全基线要求项

安全基线编号

SBL-Apache-03-02-02

安全基线项说明

禁止Apache列表显示文件

检测操作步骤

1、参考配置操作


(1)编辑httpd.conf配置文件，


<Directory "/web">


Options FollowSymLinks


AllowOverride None


Order allow,deny


Allow from all


</Directory>


将Options Indexes FollowSymLinks中的Indexes去掉，就可以禁止Apache显示该目录结构。Indexes的作用就是当该目录下没有index.html文件时，就显示目录结构。


(2)设置Apache的默认页面，编辑%apache%confhttpd.conf配置文件，


<IfModule dir_module>


DirectoryIndex index.html


</IfModule>


其中index.html即为默认页面，可根据情况改为其它文件。


(3)重新启动Apache服务

基线符合性判定依据

1、判定条件


当WEB目录中没有默认首页如index.html文件时，不会列出目录内容


2、检测操作


直接访问http://ip:8800/xxx（xxx为某一目录）

备注

2.2.3拒绝服务防范


安全基线项目名称

Apache拒绝服务防范安全基线要求项

安全基线编号

SBL-Apache-03-02-03

安全基线项说明

拒绝服务防范。

检测操作步骤

1、参考配置操作


(1)编辑httpd.conf配置文件，


Timeout 10 KeepAlive On


KeepAliveTimeout 15


AcceptFilter http data


AcceptFilter https data


(2)重新启动Apache服务

基线符合性判定依据

1、判定条件


2、检测操作


检查配置文件是否设置。

备注

2.2.4删除无用文件


安全基线项目名称

Apache无用文件安全基线要求项

安全基线编号

SBL-Apache-03-02-04

安全基线项说明

删除缺省安装的无用文件。

检测操作步骤

1、参考配置操作


删除缺省HTML文件：


# rm -rf /usr/local/apache2/htdocs/*


删除缺省的CGI脚本：


# rm –rf /usr/local/apache2/cgi-bin/*


删除Apache说明文件：


# rm –rf /usr/local/apache2/manual


删除源代码文件：


# rm -rf /path/to/httpd-2.2.4*


根据安装步骤不同和版本不同，某些目录或文件可能不存在或位置不同。

基线符合性判定依据

1、判定条件


2、检测操作


检查对应目录。

备注

2.2.5隐藏敏感信息


安全基线项目名称

Apache隐藏敏感信息安全基线要求项

安全基线编号

SBL-Apache-03-02-05

安全基线项说明

隐藏Apache的版本号及其它敏感信息。

检测操作步骤

1、参考配置操作


修改httpd.conf配置文件：


ServerSignature Off


ServerTokens Prod

基线符合性判定依据

1、判定条件


2、检测操作


检查配置文件。

备注

相关内容

    暂无相关文章