基线检查

1、身份鉴别

1、Apache账户安全

项目

详情

说明

为运行 httpd 服务设置专门设置用户和组

检测步骤

1、根据需要为 Apache 创建专门的用户和组 2、参考配置操作修改 httpd.conf 配置文件对应行参数。 User apache Group apache 其中 apache 是专门为 Apache 服务创建的用户和组。

符合性依据

检查/httpd.conf 配置文件。有专门的 Apache 的用户、组即为符合。该账户不能是默认的 daemon、操作系统管理员用户

影响性分析

加固操作对业务的影响需要在测试环境中进行测试

备注

apache 默认是用 daemon

2、日志配置

1、审核登录

项目

详情

说明

设备应配置日志功能，对运行错误、用户访问等进行记录，记录内容包括时间，用户使用的 IP 地址等内容。

检测步骤

1、参考配置操作编辑 httpd.conf 配置文件，设置日志记录文件、记录内容、记录格式。 LogLevel notice ErrorLog logs/error_log LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Accept}i\" \"%{Referer}i\" \"%{UserAgent}i\"" combined

CustomLog logs/access_log combined ErrorLog 指令设置错误日志文件名和位置。错误日志是最重要的日志文件， Apache httpd 将在这个文件中存放诊断信息和处理请求中出现的错误。若要将错误日志送到 Syslog，则设置：ErrorLog syslog。 CustomLog 指令设置访问日志的文件名和位置。访问日志中会记录服务器所处理的所有请求。 LogFormat 设置日志格式。LogLevel 用于调整记录在错误日志中的信息的详细程度，建议设置为 notice

符合性依据

1、查看 logs 目录中相关日志文件内容，记录完整。 2、查看相关日志配置文件。

3、访问权限

1、禁止访问外部文件

项目

详情

说明

禁止 Apache 访问 Web 目录之外的任何文件。

检测步骤

1、参考配置操作编辑 httpd.conf 配置文件， <Directory> Options None AllowOverride None Order deny,allow Deny from all <Directory> 2、补充操作说明设置可访问目录， Order Allow,Deny Allow from all

符合性依据

1、访问服务器上不属于 Web 目录的一个文件，结果应无法显示（无法访问 Web 目录之外的文件）。 2、检查相应配置文件

4、防攻击管理

1、错误页面处理

项目

详情

说明

Apache 错误页面重定向

检测步骤

1、参考配置操作 (1) 修改 httpd.conf 配置文件： ErrorDocument 400 /custom400.html ErrorDocument 401 /custom401.html ErrorDocument 403 /custom403.html ErrorDocument 404 /custom404.html ErrorDocument 405 /custom405.html ErrorDocument 500 /custom500.html Customxxx.html 为要设置的错误页面。 (2)重新启动 Apache 服务

符合性依据

在 URL 地址栏中输入 http://ip/xxxxxxx~~~（一个不存在的页面）检测是否指向指定错误页面

2、目录列表访问限制

项目

详情

说明

禁止 Apache 列表显示文件

检测步骤

1、参考配置操作 (1) 修改 httpd.conf 配置文件， Options FollowSymLinks AllowOverride None Order allow,deny Allow from all 将 Options Indexes FollowSymLinks 中的 Indexes 去掉，就可以禁止 Apache 显示该目录结构。Indexes 的作用就是当该目录下没有 index.html 文件时，就显示目录结构。 (2)设置 Apache 的默认页面，编辑%apache%\conf\httpd.conf 配置文件，

DirectoryIndex index.html

</IfModule>

其中 index.html 即为默认页面，可根据情况改为其它文件。 (3)重新启动 Apache 服务

符合性依据

1、直接访问 http://ip:8800/xxx（xxx 为某一目录），当 WEB 目录中没有默认首页如 index.html 文件时，不会列出目录内容。 2、直接查看 httpd.conf 配置文件。

备注

默认参数： Options +Indexes +FollowSymLinks +ExecCGI AllowOverride All Order allow,deny Allow from all Require all granted

3、拒绝服务防范

项目

详情

说明

拒绝服务防范。

检测步骤

1、参考配置操作 (1) 编辑 httpd.conf 配置文件， Timeout 10 KeepAlive On KeepAliveTimeout 15 MaxKeepAliveRequests 100 AcceptFilter http data AcceptFilter https data (2)重新启动 Apache 服务

符合性依据

检查配置文件是否设置。

4、删除无用文件

项目

详情

说明

删除缺省安装的无用文件

检测步骤

1、参考配置操作删除缺省 HTML 文件： # rm -rf /usr/local/apache2/htdocs/ 删除缺省的 CGI 脚本： # rm –rf /usr/local/apache2/cgi-bin/ 删除 Apache 说明文件： # rm –rf /usr/local/apache2/manual 删除源代码文件： # rm -rf /path/to/httpd-2.2.4* 根据安装步骤不同和版本不同，某些目录或文件可能不存在或位置不同

符合性依据

检查对应目录。

5、隐藏敏感信息

项目

详情

说明

隐藏 Apache 的版本号及其它敏感信息。

检测步骤

1、参考配置操作修改 httpd.conf 配置文件： ServerSignature Off ServerTokens Prod

符合性依据

1、判定条件 2、检测操作检查配置文件

6、请求信息长度

项目

详情

说明

限制 http 请求的信息主体最大字节长度。

检测步骤

1、参考配置操作修改 httpd.conf 配置文件对应行参数

修改 LimitRequestBody 参数为 10240000Byte，如没有 LimitRequestBody 参数，加上此行。 LimitRequestBody 10240000

符合性依据

1、检查配置文件对请求内容大小进行设置。

2、上传文件超过 10M 将报错。

备注

具体根据业务系统 http 请求的最大值确定。

7、关闭TRACE

项目

详情

说明

防止攻击者利用 trace 对服务器进行信息获取、跨站脚本攻击。

检测步骤

1、参考配置操作修改配置文件 httpd.conf 对应行参数 TraceEnable 并设置为 Off

符合性依据

1、使用 telnet 发送以下命令输入“telnet x.x.x.x 80” 点击回车。输入”CTRL+]” 点击回车，在点击回车，再点击回车。输入“TRACE / HTTP/1.0”在点击回车输入“X-Test:abcde ”在回车两次观察 HTTP 响应码，如为 405 则说明 trace 请求已关闭，如返回 200 则没有关闭。 2、直接查看 httpd.conf 配置文件。

影响性分析

加固操作对业务的影响需要在测试环境中进行测试。

5、补丁管理

1、补丁管理

项目

详情

说明

补丁或者版本升级应联系业务系统开发商咨询和测试，确认测试无问题后，进行更新

影响性分析

补丁更新加固操作对业务有不可预知的影响，一定需要在测试环境中进行测试

最后更新于4年前