6 999
contributi
Hardening di un web server Apache: differenze tra le versioni
Hardening di un web server Apache (visualizza wikitesto)
Versione delle 11:16, 26 nov 2010
, 26 nov 2010nessun oggetto della modifica
S3v (discussione | contributi) mNessun oggetto della modifica |
|||
| Riga 16: | Riga 16: | ||
</Directory> | </Directory> | ||
</pre> | </pre> | ||
È poi possibile "aprire" per directory e funzionalità selezionate, la possibilità di fare l'override della conf generale tramite i file ''.htaccess'' locali. | |||
Le diverse opzioni di <code>AllowOverride</code> controllano quali direttive possono essere definite nei file ''.htaccess'': <code>All, AuthConfig, FileInfo, Indexes, Limit, Options, None</code>. | Le diverse opzioni di <code>AllowOverride</code> controllano quali direttive possono essere definite nei file ''.htaccess'': <code>All, AuthConfig, FileInfo, Indexes, Limit, Options, None</code>. | ||
| Riga 46: | Riga 46: | ||
#AddHandler server-parsed .shtml | #AddHandler server-parsed .shtml | ||
</pre> | </pre> | ||
per cui se si vogliono usare dei Server Side Includes o degli script CGI al di fuori della directory predefinita con la direttiva <code>ScriptAlias /cgi-bin/ "@@ServerRoot@@/cgi-bin/"</code>, queste righe vanno | per cui se si vogliono usare dei Server Side Includes o degli script CGI al di fuori della directory predefinita con la direttiva <code>ScriptAlias /cgi-bin/ "@@ServerRoot@@/cgi-bin/"</code>, queste righe vanno decommentate. | ||
=== Disabilitare l'accesso pubblico a server-info e server-status === | === Disabilitare l'accesso pubblico a server-info e server-status === | ||
| Riga 65: | Riga 65: | ||
#</Location> | #</Location> | ||
</pre> | </pre> | ||
Se si vogliono visualizzare server-status e server-info, | Se si vogliono visualizzare server-status e server-info, decommentare queste righe e specificare i domini o gli IP da cui è permesso visualizzarli. | ||
===Disabilitare il file listing in directory senza index.html (o analoghi nomi di file predefiniti) === | ===Disabilitare il file listing in directory senza index.html (o analoghi nomi di file predefiniti) === | ||
| Riga 75: | Riga 75: | ||
</Location> | </Location> | ||
</pre> | </pre> | ||
Per disabilitare il directory listing si può anche direttamente rimuovere il caricamento (o la compilazione) del modulo ''mod_autoindex''; se invece si vuole abilitarlo, ma al contempo escludere dal listing dei file potenzialmente sensibili si può usare una direttiva come: | Per disabilitare il directory listing si può anche direttamente rimuovere il caricamento (o la compilazione) del modulo ''mod_autoindex''; se invece si vuole abilitarlo, ma al contempo escludere dal listing dei file potenzialmente sensibili, si può usare una direttiva come: | ||
<pre> | <pre> | ||
IndexIgnore .??* *.bak *.swp *# HEADER* README* RCS | IndexIgnore .??* *.bak *.swp *# HEADER* README* RCS | ||
| Riga 167: | Riga 167: | ||
# aptitude install libapache2-mod-evasive | # aptitude install libapache2-mod-evasive | ||
</pre> | </pre> | ||
Durante l'installazione del modulo il servizio Apache sarà riavviato e il modulo automaticamente caricato al successivo riavvio. | Durante l'installazione del modulo il servizio Apache sarà riavviato e il modulo automaticamente caricato al successivo riavvio. È possibile verificare il corretto caricamento del modulo con: | ||
<pre> | <pre> | ||
# find /etc/apache2/ | xargs fgrep -nH evasive | # find /etc/apache2/ | xargs fgrep -nH evasive | ||
| Riga 186: | Riga 186: | ||
# /etc/init.d/apache2 restart | # /etc/init.d/apache2 restart | ||
</pre> | </pre> | ||
È possibile testare il corretto funzionamento del modulo con il seguente script, installato insieme al modulo stesso: | |||
<pre> | <pre> | ||
# perl /usr/share/doc/libapache2-mod-evasive/examples/test.pl | # perl /usr/share/doc/libapache2-mod-evasive/examples/test.pl | ||
| Riga 296: | Riga 296: | ||
== Il modulo <code>mod_security</code> di Apache == | == Il modulo <code>mod_security</code> di Apache == | ||
Il modulo di Apache <code>mod_security</code> | Il modulo di Apache <code>mod_security</code> è un modulo che permette di loggare i più comuni attacchi ad Apache come XSS, remote command execution, file disclosure e tutto quello che può essere considerato dannoso nei confronti di un povero web server. Il sito ufficiale del modulo è http://www.modsecurity.org , ma per fortuna esiste un pacchetto Debian, presente in Squeeze e nei Backport di Lenny.<br/> | ||
Per installarlo è quindi sufficiente: | Per installarlo è quindi sufficiente: | ||
* Lenny: | * Lenny: | ||
| Riga 353: | Riga 353: | ||
* ''SecFilterCheckUrlEncoding (On|Off)'': controlla se i caratteri speciali vengono encodati prima di essere passati all'URL | * ''SecFilterCheckUrlEncoding (On|Off)'': controlla se i caratteri speciali vengono encodati prima di essere passati all'URL | ||
* ''SecFilterCheckUnicodeEncoding (On|Off)'': controlla se l'encoding Unicode è valido | * ''SecFilterCheckUnicodeEncoding (On|Off)'': controlla se l'encoding Unicode è valido | ||
* ''SecFilterForceByteRange'': forza le | * ''SecFilterForceByteRange'': forza le richieste dentro un range predefinito di bytes. Può aiutare a prevenire attacchi stack overflow. Il range può essere impostato da 0 a 255. | ||
* ''SecServerSignature'': cambia la signature nella risposta agli header. | * ''SecServerSignature'': cambia la signature nella risposta agli header. Perché funzioni è necessaria la direttiva Apache <code>ServerTokens Full</code>. | ||
* ''SecAuditEngine (On|Off|RelevantOnly)'': abilita o disabilita il loggind di mod-security. RelevantOnly logga solo le richieste che coincidono con una regola impostata. | * ''SecAuditEngine (On|Off|RelevantOnly)'': abilita o disabilita il loggind di mod-security. RelevantOnly logga solo le richieste che coincidono con una regola impostata. | ||
* SecAuditLog /path/to/audit_log: define the file where mod-security will write its logs. | * SecAuditLog /path/to/audit_log: define the file where mod-security will write its logs. | ||
| Riga 367: | Riga 367: | ||
e riavviamo Apache: | e riavviamo Apache: | ||
<pre> | <pre> | ||
/etc/init.d/apache restart | # /etc/init.d/apache restart | ||
</pre> | </pre> | ||
Per verificare il corretto funzionamento del modulo appena installato è sufficiente aprire il file di log di Apache: | Per verificare il corretto funzionamento del modulo appena installato è sufficiente aprire il file di log di Apache: | ||
| Riga 401: | Riga 401: | ||
e riavviamo Apache: | e riavviamo Apache: | ||
<pre> | <pre> | ||
/etc/init.d/apache restart | # /etc/init.d/apache restart | ||
</pre> | </pre> | ||
=== Il modulo <code>mod_security</code> e Drupal === | === Il modulo <code>mod_security</code> e Drupal === | ||