-
Bezpieczeństwo Apache w CentOS i nie tylko
Apache to aplikacja będąca serwerem www. To ona jest odpowiedzialna za wyświetlanie stron internetowych w naszych przeglądarkach. Tak ważna częśc systemu komputerowego jest niezwykle podatna na wrogie działania osób trzecich, a dokładniej mówiąc ich narzędzi. Każdego dnia setki stron internetowych na całym świecie zostaje „zhackowana” i zmieniona ich treść. Czasem to niewinne żarty, ale niestety coraz częściej są to działania mające na celu zaszkodzenie reputacji pewnej osoby, albo narażenie na poważne straty finansowe. Dlatego warto jest się zabezpieczyć. Poniżej przedstawie kilka najważniejszych czynności, które powinien wykonać administrator:
- Dbanie o aktualność serwera www, interpretera php, serwera bezodanowego oraz w miarę możliwości systemów zarządzania treścią CMS.
- Odpowiednia konfiguracja serwera www, m.in ustawienie wartości „ServerSignature” w pliku httpd.conf na „off”. Spowoduje to, ze Apache nie będzie przedstawiał się np. przy nie znalezieniu storny na serwerze. Dzięki temu nie będzie widoczny numer i nazwa naszego serwera WWW. Ważna jest też dyrektywa ServerTokens. Poleca się ustawienie wartości „prod” co powoduje ujawnienie tylko nazwy serwera, czyli w tym przypadku Apache.
- Instalacja modułu do Apache– mod_security. Jest taki firewall na www. Wykrywa on i blokuje niepożądane akcje. Czasem trzeba go wyłączać dla niektórych vhost-ów, bo może powodować problemy.
- Ustawienie odpowiednich uprawnień do plików i katalogów.
- Monitorowanie jego pracy poprzez aplikacje do tego przeznaczone, np. nagios.
- Przeglądanie logów Apache.
W punkcie 4, dwa razy wpisano „odpowiednich”.
dzięki, poprawione
Dotyczy punktu 4: „odpowiednich uprawnień”, tzn.: jakich i dla jakiego katalogu lub katalogów?
Do katalogów i plików naszego vhosta, np. żeby nie dawać 777 na wszystko lub nie ustawiać właściciela na apache.