Protegendo o Apache. Prof. Claudio Silva

Transcrição

1 Protegendo o Apache

2 Cer$fique- se de ter instalado os úl$mos parches de segurança Não faz sen;do colocar uma fechadura mais resistente na sua porta se você deixa uma janela aberta. Da mesma forma se você não tem os úl;mos parches de segurança instalado não teria sen;do con;nuar com a o;mização de segurança.

3 Restringir acesso por IP Se ;ver um recurso ao que deva somente ter acesso alguma rede, ou IP em concreto você pode configurá- lo em Apache. Order Deny,Allow Deny from all Allow from /16

4 Oculte a versão e outra informação delicada Por padrão, muitas instalações de Apache mostram o número de versão que está funcionando, o sistema operacional e um informe de módulos de Apache estão instalados no servidor. Os usuários maliciosos podem u;lizar esta informação para atacar seu servidor. Há duas diretrizes que você necessita agregar, ou corrigir em seu arquivo de hnpd.conf: ServerSignature Off ServerTokens Prod O ServerSignature aparece na parte inferior das páginas geradas por apache tais como os famosos erros 404. A diretriz ServerTokens se u;liza para determinar o que Apache colocará no cabeçalho da resposta HTTP do servidor.

5 Apache deve funcionar sob sua própria conta e grupo de usuário Algumas versões de Apache funcionam sob o usuário nobody, isto compromete muito sua segurança, portanto faça o seguinte: User apache Group apache

6 U$lize o mod_security O mod_security é um módulo excelente de Apache escrito por Ivan Ris;c, o autor de Apache Security de O'Reilly.

7 Desabilitar qualquer módulo desnecessário Apache vem por padrão instalado com uma série de módulos. Você deve dar uma olhada na documentação de Apache e ver para que serve cada um deles, e desta maneira se dará conta de que há alguns que não são úteis em seu servidor. Busque em hnpd.conf as linhas que contenham LoadModule. Para desabilitar o módulo deve agregar um # ao princípio da linha, para que desta forma passe a ser um comentário. Para buscar os módulos prove com: grep LoadModule hxpd.conf Aqui estão alguns módulos que se instalam por padrão, porém muitas vezes não são necessários: mod_imap, mod_include, mod_info, mod_userdir, mod_status, mod_cgi, mod_autoindex.

8 Cer$fique- se de que os arquivos aos que se acessa são os desejados Não desejamos que se possa acessar aos diretórios que não tenham permissões para isso, suponhamos que o diretório raiz para nossas webs é /web, a configuração ó;ma deverá ser a seguinte: Order Deny,Allow Deny from all Op$ons None AllowOverride None Order Allow,Deny Allow from all

9 Desa$ve as opções para explorar diretórios Isto pode fazer com as opções de diretriz dentro da e;queta diretório tem dois possíveis valores none ou indexes. Op$ons - Indexes

10 Desa$ve os includes do lado servidor Isto também se faz com as opções de diretriz dentro da e;queta diretório tem dois possíveis valores none ou include. Op$ons - Includes

11 Desa$ve a execução de CGI Se não necessitar da execução de CGI por algum mo;vo em concreto desa;vá- los se faz com as opções de diretriz dentro da e;queta diretório tem dois possíveis valores none ou ExecCGI. Op$ons - ExecCGI

12 Não permi$r que apache siga links simbólicos De novo se configura com as opções de diretriz dentro da e;queta diretório tem dois possíveis valores none ou FollowSymLinks. Op$ons - FollowSymLinks

13 Desa$var todas as opções Se deseja desa;var o uso de todas as opções simplesmente: Op$ons None Se somente deseja desa;var algumas em concreto, separe- as com um espaço nas opções de diretriz: Op$ons - ExecCGI - FollowSymLinks - Indexes

14 Desa$var a ajuda para os arquivos.htaccess Isto já está feito, mas com a diretriz AllowOverride. Mude- o a none. AllowOverride None Outra opção interessante seria bloquear o download de todos os arquivos que comecem com.ht por exemplo, se faria da seguinte maneira: AccessFileName.hXpdoverride Order allow,deny Deny from all Sa$sfy All

15 Diminua o valor máximo de tempo de espera Por padrão, o tempo de espera é de 300 segundos. Pode diminuí- lo por segurança para prevenir ataques desta maneira: Timeout 45

16 Limitar o tamanho máximo de pe$ções Apache tem várias diretrizes que permitem que limite o tamanho de uma pe;ção, isto pode ser muito ú;l. Uma boa maneira de começar é com a diretriz LimitRequestBody. Esta diretriz está fixada a ilimitado por padrão. Se es;ver permi;ndo uploads de arquivos que não sejam maiores a 1MB, poderia fixar este ajuste a algo parecido a isto: LimitRequestBody Se não es;ver permi;ndo uploads de arquivos, pode fixá- lo inclusive a um tamanho menor. Algumas outras diretrizes para olhar são LimitRequestFields, LimitRequestFieldSize e LimitRequestLine.