Apache安全配置基线.docx
《Apache安全配置基线.docx》由会员分享，可在线阅读，更多相关《Apache安全配置基线.docx（9页珍藏版）》请在冰豆网上搜索。
Apache安全配置基线
Apache安全配置基线
中国移动通信有限公司管理信息系统部
2009年03月
版本
版本控制信息
更新日期
更新人
审批人
V1.0
创建
2009年4月
备注：
1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录
第1章概述1
1.1目的1
1.2适用范围1
1.3适用版本1
1.4实施1
1.5例外条款1
第2章日志配置操作2
2.1日志配置2
2.1.1审核登录2
第3章设备其他配置操作3
3.1访问权限3
3.1.1禁止访问外部文件3
3.2防攻击管理3
3.2.1错误页面处理4
3.2.2目录列表访问限制4
3.2.3拒绝服务防范5
3.2.4删除无用文件5
3.2.5隐藏敏感信息6
第4章评审与修订7
概述
目的
本文档规定了中国移动通信有限公司管理信息系统部门所维护管理的Apache服务器应当遵循的安全性设置标准，本文档旨在指导系统管理人员进行Apache服务器的安全配置。
适用范围
本配置标准的使用者包括：
服务器系统管理员、应用管理员、网络安全管理员。
本配置标准适用的范围包括：
中国移动总部和各省公司信息化部门维护管理的Apache服务器系统。
适用版本
2.0.x、2.2.x版本的Apache服务器。
实施
本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。
本标准发布之日起生效。
例外条款
欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。
日志配置操作
日志配置
审核登录
安全基线项目名称
Apache审核登录策略安全基线要求项
安全基线编号
SBL-Apache-02-01-01
安全基线项说明
设备应配置日志功能，对运行错误、用户访问等进行记录，记录内容包括时间，用户使用的IP地址等内容。
检测操作步骤
1、参考配置操作
编辑httpd.conf配置文件，设置日志记录文件、记录内容、记录格式。
LogLevelnotice
ErrorLoglogs/error_log
LogFormat"%h%l%u%t\"%r\"%>s%b\"%{Accept}i\"\"%{Referer}i\"\"%{User-Agent}i\""combined
CustomLoglogs/access_logcombined
ErrorLog指令设置错误日志文件名和位置。
错误日志是最重要的日志文件，Apachehttpd将在这个文件中存放诊断信息和处理请求中出现的错误。
若要将错误日志送到Syslog，则设置：
ErrorLogsyslog。
CustomLog指令设置访问日志的文件名和位置。
访问日志中会记录服务器所处理的所有请求。
LogFormat设置日志格式。
LogLevel用于调整记录在错误日志中的信息的详细程度，建议设置为notice。
基线符合性判定依据
1、判定条件
查看logs目录中相关日志文件内容，记录完整。
2、检测操作
查看相关日志记录。
3、补充说明
备注
设备其他配置操作
访问权限
禁止访问外部文件
安全基线项目名称
Apache目录访问权限安全基线要求项
安全基线编号
SBL-Apache-03-01-01
安全基线项说明
禁止Apache访问Web目录之外的任何文件。
检测操作步骤
1、参考配置操作
编辑httpd.conf配置文件，
OrderDeny,Allow
Denyfromall
2、补充操作说明
设置可访问目录，
OrderAllow,Deny
Allowfromall
其中/web为网站根目录。
基线符合性判定依据
1、判定条件
无法访问Web目录之外的文件。
2、检测操作
访问服务器上不属于Web目录的一个文件，结果应无法显示。
3、补充说明
备注
防攻击管理
错误页面处理
安全基线项目名称
Apache错误页面安全基线要求项
安全基线编号
SBL-Apache-03-02-01
安全基线项说明
Apache错误页面重定向
检测操作步骤
1、参考配置操作
（1）修改httpd.conf配置文件：
ErrorDocument400/custom400.html
ErrorDocument401/custom401.html
ErrorDocument403/custom403.html
ErrorDocument404/custom404.html
ErrorDocument405/custom405.html
ErrorDocument500/custom500.html
Customxxx.html为要设置的错误页面。
（2）重新启动Apache服务
基线符合性判定依据
1、判定条件
指向指定错误页面
2、检测操作
URL地址栏中输入http:
//ip/xxxxxxx~~~（一个不存在的页面）
备注
目录列表访问限制
安全基线项目名称
Apache目录列表安全基线要求项
安全基线编号
SBL-Apache-03-02-02
安全基线项说明
禁止Apache列表显示文件
检测操作步骤
1、参考配置操作
（1）编辑httpd.conf配置文件，
OptionsFollowSymLinks
AllowOverrideNone
Orderallow,deny
Allowfromall
将OptionsIndexesFollowSymLinks中的Indexes去掉，就可以禁止Apache显示该目录结构。
Indexes的作用就是当该目录下没有index.html文件时，就显示目录结构。
（2）设置Apache的默认页面，编辑%apache%\conf\httpd.conf配置文件，
DirectoryIndexindex.html
其中index.html即为默认页面，可根据情况改为其它文件。
（3）重新启动Apache服务
基线符合性判定依据
1、判定条件
当WEB目录中没有默认首页如index.html文件时，不会列出目录内容
2、检测操作
直接访问http:
//ip:
8800/xxx（xxx为某一目录）
备注
拒绝服务防范
安全基线项目名称
Apache拒绝服务防范安全基线要求项
安全基线编号
SBL-Apache-03-02-03
安全基线项说明
拒绝服务防范。
检测操作步骤
1、参考配置操作
（1）编辑httpd.conf配置文件，
Timeout10KeepAliveOn
KeepAliveTimeout15
AcceptFilterhttpdata
AcceptFilterhttpsdata
（2）重新启动Apache服务
基线符合性判定依据
1、判定条件
2、检测操作
检查配置文件是否设置。
备注
删除无用文件
安全基线项目名称
Apache无用文件安全基线要求项
安全基线编号
SBL-Apache-03-02-04
安全基线项说明
删除缺省安装的无用文件。
检测操作步骤
1、参考配置操作
删除缺省HTML文件：
#rm-rf/usr/local/apache2/htdocs/*
删除缺省的CGI脚本：
#rm–rf/usr/local/apache2/cgi-bin/*
删除Apache说明文件：
#rm–rf/usr/local/apache2/manual
删除源代码文件：
#rm-rf/path/to/httpd-2.2.4*
根据安装步骤不同和版本不同，某些目录或文件可能不存在或位置不同。
基线符合性判定依据
1、判定条件
2、检测操作
检查对应目录。
备注
隐藏敏感信息
安全基线项目名称
Apache隐藏敏感信息安全基线要求项
安全基线编号
SBL-Apache-03-02-05
安全基线项说明
隐藏Apache的版本号及其它敏感信息。
检测操作步骤
1、参考配置操作
修改httpd.conf配置文件：
ServerSignatureOff
ServerTokensProd
基线符合性判定依据
1、判定条件
2、检测操作
检查配置文件。
备注
评审与修订
本标准由中国移动通信有限公司管理信息系统部定期进行审查，根据审视结果修订标准，并颁发执行。
升级会员 