Apache HTTP Server中间件安全基线配置与操作指南

偏执的太偏执、 2023-10-06 19:53 65阅读 0赞

## 1、账号管理 ##

### 1.1、账号安全设置 ###

### 1.2、账号授权 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:295.55pt;"> Apache Web 根目录文件操作安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:295.55pt;"> ZJLY-apache-002 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 确保只有 root 用户可以修改 Web 根目录下的文件 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 1、Apache 的主目录对应于 Apache Server配置文件 httpd.conf 中的 Server Root 控制项，应设置为： Server Root /etc/httpd 判定条件： 非超级用户不能修改该目录中的内容。 检测操作： 尝试进行修改，看是否能修改该目录中的内容。 2、严格设置配置文件和日志文件的权限，防止未授权访问。 执行chmod 600 /etc/httpd/conf/httpd.conf命令设置配置文件为属主可读写，其他用户无读写权限。 执行chmod 644 /var/log/httpd/*.log命令设置日志文件为属主可读写，其他用户拥有只读权限 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 用普通用户登陆服务器，尝试在Web目录下修改或者新建文件， 检查操作是否成功。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 备注 </td> 
 <td style="vertical-align:top;width:295.55pt;"> /etc/httpd/conf/httpd.conf 配置文件的默认权限是644，可根据需要修改权限为600。 - /var/log/httpd/*.log 日志文件的默认权限为644，默认设置即符合要求 </td> 
 </tr> 
 </tbody> 
</table>

## 2、日志配置 ##

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:295.55pt;"> Apache 日志配置-审核登录策略安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:295.55pt;"> ZJLY-pache-003 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 应配置日志功能，对运行错误、用户访问等进行记录，记录内容包括时间，用户使用的 IP 地址等内容 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 编辑 httpd.conf 配置文件，设置日志记录文件、记录内容、记 录格式。 LogLevel notice ErrorLog logs/error_log LogFormat "%h %l %u %t \"%r\" %&gt;s %b \"%{Accept}i\" \"%{Referer}i\" \"%{User-Agent}i\"" combined CustomLog logs/access_log combined ErrorLog 指令设置错误日志文件名和位置。错误日志是最重要 的日志文件，Apache httpd 将在这个文件中存放诊断信息和处 理请求中出现的错误。若要将错误日志送到 Syslog ，则设置： ErrorLog syslog 。 CustomLog 指令设置访问日志的文件名和位置。访问日志中会 记录服务器所处理的所有请求。 LogFormat 设置日志格式，建议设置为 combined 格式。 LogLevel 用于调整记录在错误日志 中的信息的详细程度，建议设置为 notice。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 查看 logs 目录中相关日志文件内容，应记录完整。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 备注 </td> 
 <td style="vertical-align:top;width:295.55pt;"> </td> 
 </tr> 
 </tbody> 
</table>

## 3、访问控制 ##

### 3.1、禁止访问外部文件 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:295.55pt;"> Apache 目录访问权限安全基线要求项&nbsp; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:295.55pt;"> ZJLY-pache-004 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 禁止 Apache 访问 Web 目录之外的任何文件 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 编辑 httpd.conf 配置文件： &lt;Directory /&gt; Order Deny,Allow Deny from all &lt;/Directory&gt; 设置可访问目录： &lt;Directory /web&gt; Order Allow,Deny Allow from all &lt;/Directory&gt; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 访问服务器上不属于 Web 目录的一个文件，结果应无法显示。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 备注 </td> 
 <td style="vertical-align:top;width:295.55pt;"> /web为网站根目录 </td> 
 </tr> 
 </tbody> 
</table>

### 4.2、错误页面处理 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:295.55pt;"> Apache 错误页面安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:295.55pt;"> ZJLY-pache-005 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:295.55pt;"> Apache 访问错误页面重定向，防止泄露敏感信息 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:295.55pt;"> (1) 修改 httpd.conf 配置文件： ErrorDocument 400 /custom400.html ErrorDocument 401 /custom401.html ErrorDocument 403 /custom403.html ErrorDocument 404 /custom404.html ErrorDocument 405 /custom405.html ErrorDocument 500 /custom500.html Customxxx.html 为要自建的错误页面。 (2)重新启动 Apache 服务 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 在地址栏输入一个不存在的页面，验证是否已指向错误页面 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 备注 </td> 
 <td style="vertical-align:top;width:295.55pt;"> </td> 
 </tr> 
 </tbody> 
</table>

### 4.3、目录列表访问控制 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:295.55pt;"> Apache 目录列表安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:295.55pt;"> ZJLY-pache-006 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 禁止 Apache 列表显示文件 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:295.55pt;"> (1)编辑 httpd.conf 配置文件： &lt;Directory "/web"&gt; Options Indexes FollowSymLinks AllowOverride None Order allow,deny Allow from all &lt;/Directory&gt; 将 Options Indexes FollowSymLinks 中的 Indexes 去掉，就 可以禁止 Apache 显示该目录结构。Indexes 的作用就是当该目 录下没有 index.html 文件时，就显示目录结构。 (2)设置 Apache 的默认页面，编辑%apache%\conf\httpd.conf 配置文件，&lt;IfModule dir_module&gt; DirectoryIndex index.html &lt;/IfModule&gt; 其中 index.html 即为默认页面，可根据情况改为其它文件。 (3)重新启动 Apache 服务。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 直接访问 http://ip:8800/xxx （xxx 为某一目录），不会显示 目录内容。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 备注 </td> 
 <td style="vertical-align:top;width:295.55pt;"> </td> 
 </tr> 
 </tbody> 
</table>

### 3.4、拒绝服务防御 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:92.4pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:333.7pt;"> Apache 拒绝服务防御安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:92.4pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:333.7pt;"> ZJLY-pache-007 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:92.4pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:333.7pt;"> 防范拒绝服务攻击 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:92.4pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:333.7pt;"> (1) 编辑 httpd.conf 配置文件： Timeout 10 #客户端与服务器端建立连接前的时间间隔 KeepAlive On KeepAliveTimeout 15 #限制每个session的保持时间是15秒 AcceptFilter http data AcceptFilter https data (2)重新启动 Apache 服务。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:92.4pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:333.7pt;"> 检查配置文件 httpd.conf 是否设置正确。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:92.4pt;"> 备注 </td> 
 <td style="vertical-align:top;width:333.7pt;"> 默认值为Timeout 120，KeepAlive Off，KeepAliveTimeout 15，该项设置涉及性能调整 </td> 
 </tr> 
 </tbody> 
</table>

### 3.5、隐藏敏感信息 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:324.95pt;"> Apache 隐藏敏感信息安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:324.95pt;"> ZJLY-pache-008 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 隐藏 Apache 的版本号及其它敏感信息 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 修改 httpd.conf 配置文件： ServerSignature Off ServerTokens Prod </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 检查配置文件 httpd.conf </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 备注 </td> 
 <td style="vertical-align:top;width:324.95pt;"> </td> 
 </tr> 
 </tbody> 
</table>

### 3.6、关闭TRACE ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:324.95pt;"> Apache TRACE 方法控制安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:324.95pt;"> ZJLY-pache-009 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 关闭 TRACE，防止 TRACE 方法被访问者恶意利用 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:324.95pt;"> （1）编辑 httpd.conf 配置文件，配置如下内容： TraceEnable Off （2）如果不存在则手动在文件末尾添加。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 检查配置文件 httpd.conf </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 备注 </td> 
 <td style="vertical-align:top;width:324.95pt;"> </td> 
 </tr> 
 </tbody> 
</table>

### 3.7、关闭CGI ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:324.95pt;"> Apache CGI 程序控制安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:324.95pt;"> ZJLY-pache-010 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 如果服务器上不需要运行 CGI 程序，建议禁用 CGI </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 编辑 httpd.conf 配置文件，把 cgi-bin 目录的配置和模块注释掉： #&lt;Directory "/var/www/cgi-bin"&gt; # &nbsp;&nbsp;&nbsp;AllowOverride None # &nbsp;&nbsp;&nbsp;Options None # &nbsp;&nbsp;&nbsp;Require all gra #&lt;/Directory&gt; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 检查配置文件 httpd.conf </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 备注 </td> 
 <td style="vertical-align:top;width:324.95pt;"> </td> 
 </tr> 
 </tbody> 
</table>

### 3.8、**禁用非法HTTP方法** ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:324.95pt;"> Apache 禁用非法HTTP方法安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:324.95pt;"> ZJLY-pache-011 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 只允许get 、post方法 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 编辑 httpd.conf 配置文件，新增或修改如下配置： &lt;Location /&gt; &nbsp; &lt;LimitExcept GET POST CONNECT OPTIONS&gt; &nbsp;&nbsp;Order Allow,Deny &nbsp;&nbsp;Deny from all &lt;/LimitExcept&gt; &lt;/Location&gt; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 检查配置文件 httpd.conf </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 备注 </td> 
 <td style="vertical-align:top;width:324.95pt;"> </td> 
 </tr> 
 </tbody> 
</table>

### 3.9、限制访问敏感目录 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:324.95pt;"> Apache 限制访问敏感目录安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:324.95pt;"> ZJLY-pache-012 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 只允许部分 IP 访问网站的敏感目录 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 编辑 httpd.conf 配置文件： &lt;Directory "/var/www/html/admin"&gt; Order allow,deny Allow from 192.*.*.*/255.255.255.0 &lt;/Directory&gt; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 检查配置文件 httpd.conf </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 备注 </td> 
 <td style="vertical-align:top;width:324.95pt;"> </td> 
 </tr> 
 </tbody> 
</table>