Apache安全配置规范12-27

要求内容
设备应配置日志功能，对运行错误、用户访问等进行记录，记录内容包括时间，用户使用的IP地址等内容。
操作指南
1、参考配置操作
编辑httpd.conf配置文件，设置日志记录文件、记录内容、记录格式。
其中，错误日志：
LogLevel notice #日志的级别
ErrorLog /.../logs/error_log #日志的保存位置（错误日志）
AllowOverride None
Options None
Order allow,deny
Allow from all
</Directory>
2.10监听地址绑定（可选）
要求内容
服务器有多个IP地址时，只监听提供服务的IP地址
操作指南
参考配置操作
使用命令“vi /etc/httpd/conf/httpd.conf”修改配置文件，修改
2、检测操作
查看相关日志记录。
3、补充说明
2.3禁止Apache访问Web目录之外的任何文件
要求内容
禁止Apache访问Web目录之外的任何文件。
操作指南
1、参考配置操作
编辑httpd.conf配置文件，
<Directory />
Order Deny,Allow
Deny from all
</Directory>
[root@centos ~]# ls -l /var/log求内容
在不影响业务的情况下，升级解决高危漏洞，而且该补丁要通过实验测试。
操作指南
1、参考配置操作：
访问/download.cgi，查看最新的apache版本，在实验室测试通过的前提下，编译升级apache，以解决高危漏洞。
Apache安全配置规范
2010年11月
概述
适用范围
本规范提出的安全功能要求和安全配置要求，适用于大部分Unix系统下的2.0.x、2.2.x版本的Apache服务器，可作为编制设备入网测试、安全验收、安全检查规范等文档的参考。
安全配置要求
2.1账号
要求内容
以专门的用户帐号和组运行Apache。
操作指南
2.9禁用CGI（可选）
要求内容
如果服务器上不需要运行CGI程序，建议禁用CGI
操作指南
参考配置操作
（1）使用命令“vi /etc/httpd/conf/httpd.conf”修改配置文件，把cgi-bin目录的配置和模块都注释掉
#LoadModule cgi_module modules/mod_cgi.so
Allow: GET,HEAD,POST,OPTIONS,TRACE
Content-Length: 0
Connection: close
Content-Type: text/plain; charset=UTF-8
表示支持TRACE方法，注意查看是否还支持其他方法，如：PUT，DELETE等，一般情况下都不应该出现在生产主机上
操作指南
1、参考配置操作
(1)编辑httpd.conf配置文件，
Timeout 10 #客户端与服务器端建立连接前的时间间隔
KeepAlive On
KeepAliveTimeout 15 #限制每个session的保持时间是15秒
注：此处为一建议值，具体的设定需要根据现实情况。
(2)重新启动Apache服务
User apache
Group apache
2、补充操作说明
1、根据不同用户，取不同的名称。
2、为用户设置适当的家目录和shell。
检测方法
1、判定条件
2、检测操作
检查httpd.conf配置文件。
检查是否使用非专用账户（如root）运行apache
2.2日志安全要求
编号
安全要求-系统-Apache-配置-2.2
Customxxx.html为要设置的错误页面。
(2)重新启动Apache服务
检测方法
1、判定条件
指向指定错误页面
2、检测操作
URL地址栏中输入http://ip/xxxxxxx~~~（一个不存在的页面）
2.6设置session时间（可选）
要求内容
根据业务需要，合理设置session时间，防止拒绝服务攻击
使用命令“chmod 644 /var/log/httpd/*.log”设置日志文件为属主可读写，其他用户只读权限
检测方法
1、判定条件
2、检测操作
使用命令查看配置文件和日志文件的权限
[root@centos ~]# ls -l /etc/httpd/conf/httpd.conf
-rw-r--r-- 1 root root 7571 May 13 17:45 /etc/httpd/conf/httpd.conf
2、补充操作说明
设置可访问目录，
<Directory /web>
Order Allow,Deny
Allow from all
</Directory>
其中/web为网站根目录。
检测方法
1、判定条件
无法访问Web目录之外的文件。
2、检测操作
访问服务器上不属于Web目录的一个文件，结果应无法显示。
3、补充说明
访问日志：
LogFormat "%h %l %u %t \"%r\" %>s %b "%{Accept}i\" \"%{Referer}i\" \"%{User-Agent}i\"" combined
CustomLog /.../logs/access_log combined（访问日志）
ErrorLog指令设置错误日志文件名和位置。错误日志是最重要的日志文件，Apache httpd将在这个文件中存放诊断信息和处理请求中出现的错误。若要将错误日志送到Syslog，则设置：ErrorLog syslog。
检测方法
1、判定条件
2、检测操作
客户端：
#nc 1.1.1.4 80
输入下面两行内容后，两次回车
OPTIONS * HTTP/1.1
HOST:1.1.1.4
服务器返回：
HTTP/1.1 200 OK
Date: Wed, 13 May 2009 07:09:31 GMT
Server: Apache/2.2.3 (CentOS)
Allow from all
</Directory>
将Options Indexes FollowSymLinks中的Indexes去掉，就可以禁止Apache显示该目录结构。Indexes的作用就是当该目录下没有index.html文件时，就显示目录结构。
(2)重新启动Apache服务
检测方法
1、判定条件
检测方法
1、判定条件
2、检测操作
根据apache安装路径使用命令行查看版本情况。如：/usr/local/apache/bin/apachectl–v
与需要的版本进行对比。
Listen x.x.x.x:80
检测方法
1、判定条件
2、检测操作
使用命令“cat /etc/httpd/conf/httpd.conf|grep Listen”查看是否绑定IP地址
2.11权限限制
要求内容
严格设置配置文件和日志文件的权限，防止未授权访问
操作指南
1、参考配置操作：
使用命令“chmod 600 /etc/httpd/conf/httpd.conf”设置配置文件为属主可读写，其他用户无权限
2.4目录列出
要求内容
禁止Apache列表显示文件
操作指南
1、参考配置操作
(1)编辑httpd.conf配置文件，
<Directory "/web">
Options Indexes FollowSymLinks #删掉Indexes
AllowOverride None
Order allow,deny
#ScriptAlias /cgi-bin/ "/var/www/cgi-bin/"
#<Directory "/var/www/cgi-bin">
# AllowOverride None
# Options None
# Order allow,deny
# Allow from all
#</Directory>
1、根据需要为Apache创建用户、组
2、参考配置操作
如果没有设置用户和组，则新建用户，并在Apache配置文件中指定
(1)创建apache组：groupadd apache
(2)创建apache用户并加入apache组：useradd apache–g apache
(3)将下面两行加入Apache配置文件httpd.conf中
当WEB目录中没有默认首页如index.html文件时，不会列出目录内容
2、检测操作
直接访问http://ip/xxx（xxx为某一目录）
2.5自定义错误信息要求（可选）
要求内容
Apache错误页面重定向
操作指南
1、参考配置操作
(1)修改httpd.conf配置文件：
ErrorDocument 400 /custom400.html
检测方法
1、判定条件
2、检测操作
检查httpd.conf配置文件是否设置。
2.7隐藏Apache的版本号（可选）
要求内容
隐藏Apache的版本号及其它敏感信息。