4 069
contributi
(19 versioni intermedie di 4 utenti non mostrate) | |||
Riga 1: | Riga 1: | ||
{{Versioni compatibili}} | {{Versioni compatibili|Squeeze|Wheezy|Jessie|Stretch}} | ||
== Introduzione == | == Introduzione == | ||
Apache come ogni software usato in rete, è soggetto a bug che lo possono rendere vulnerabile ad attacchi di diversa natura: Denial of Service, Information Disclosure, System Violation, Data Corruption...<br/> | Apache come ogni software usato in rete, è soggetto a bug che lo possono rendere vulnerabile ad attacchi di diversa natura: Denial of Service, Information Disclosure, System Violation, Data Corruption...<br/> | ||
Riga 8: | Riga 9: | ||
== Direttive di Apache == | == Direttive di Apache == | ||
Debian prevede un file specifico per la configurazione e la gestione della sicurezza di Apache: <code>/etc/apache2/conf.d/security</code>.<br/> | Debian prevede un file specifico per la configurazione e la gestione della sicurezza di Apache: <code>/etc/apache2/conf.d/security</code>.<br/> | ||
'''Attenzione'''. Da Debian Stretch il file si trova nel percorso: <code>/etc/apache2/conf.available/security.conf</code>.<br/> | |||
Si consiglia quindi di apportare in questo file tutte le modifiche seguenti che desiderate implementare nella vostra configurazione. | Si consiglia quindi di apportare in questo file tutte le modifiche seguenti che desiderate implementare nella vostra configurazione. | ||
=== Impedire il controllo degli accessi per directory === | === Impedire il controllo degli accessi per directory === | ||
Riga 22: | Riga 25: | ||
In alcune circostanze può essere necessario limitare l'accesso ad una o più sottodirectory del nostro sito.<br/> | In alcune circostanze può essere necessario limitare l'accesso ad una o più sottodirectory del nostro sito.<br/> | ||
Per gestire tali limitazioni di accesso possiamo intervenire sulle singole directory mediante il file < | Per gestire tali limitazioni di accesso possiamo intervenire sulle singole directory mediante il file <code>.htaccess</code> (il quale avrà valore unicamente dentro la directory in cui è contenuto). | ||
<br/> | <br/> | ||
Un semplice esempio di file < | Un semplice esempio di file <code>.htaccess</code> è: | ||
<pre> | <pre> | ||
<limit GET POST> | <limit GET POST> | ||
Riga 53: | Riga 56: | ||
<pre> | <pre> | ||
<Files ~ "^\.ht"> | <Files ~ "^\.ht"> | ||
Order | # Fino a Jessie | ||
Deny from all | #Order Allow,Deny | ||
#Deny from all | |||
# Da Stretch | |||
Require all denied | |||
</Files> | </Files> | ||
</pre> | </pre> | ||
Riga 64: | Riga 70: | ||
<pre> | <pre> | ||
<FilesMatch \.(inc|conf)> | <FilesMatch \.(inc|conf)> | ||
Order Allow,Deny | # Fino a Jessie | ||
Deny from all | #Order Allow,Deny | ||
#Deny from all | |||
# Da Stretch | |||
Require all denied | |||
</FilesMatch> | </FilesMatch> | ||
</pre> | </pre> | ||
Riga 82: | Riga 92: | ||
<pre> | <pre> | ||
#<Location /server-status> | #<Location /server-status> | ||
# | # SetHandler server-status | ||
# Order | # Fino a Jessie | ||
# | #Order Allow,Deny | ||
# | #Deny from all | ||
#Allow from .your-domain.com | |||
# Da Stretch | |||
Require all denied | |||
Require local | |||
Require ip 192.168.1.0/24 | |||
#</Location> | #</Location> | ||
#<Location /server-info> | #<Location /server-info> | ||
# SetHandler server-info | # SetHandler server-info | ||
# Order | # SetHandler server-status | ||
# | # Fino a Jessie | ||
# | #Order Allow,Deny | ||
#Deny from all | |||
#Allow from .your-domain.com | |||
# Da Stretch | |||
Require all denied | |||
Require local | |||
Require ip 192.168.1.0/24 | |||
#</Location> | #</Location> | ||
</pre> | </pre> | ||
Riga 201: | Riga 224: | ||
# find /etc/apache2/ | xargs fgrep -nH evasive | # find /etc/apache2/ | xargs fgrep -nH evasive | ||
</pre> | </pre> | ||
Su alcuni siti viene suggerito di aumentare la sicurezza del modulo aggiungendo alcuni parametri di configurazione al file <code>/etc/apache2/mods-available/mod-evasive.load</code>: | Su alcuni siti viene suggerito di aumentare la sicurezza del modulo aggiungendo alcuni parametri di configurazione al file <code>/etc/apache2/mods-available/mod-evasive.load</code>.<br/> | ||
'''Attenzione'''. Da Debian Stretch il file da modificare è <code>/etc/apache2/mods-available/evasive.conf</code>: | |||
<pre> | <pre> | ||
<IfModule mod_evasive20.c> | <IfModule mod_evasive20.c> | ||
Riga 332: | Riga 356: | ||
# apt-get -t lenny-backports install libapache-mod-security | # apt-get -t lenny-backports install libapache-mod-security | ||
</pre> | </pre> | ||
* Squeeze: | * Da Squeeze a Wheezy: | ||
<pre> | <pre> | ||
# apt-get install libapache-mod-security | # apt-get install libapache-mod-security | ||
</pre> | </pre> | ||
* Da Jessie: | |||
<pre> | |||
# apt-get install libapache2-mod-security2 | |||
</pre> | |||
{{Warningbox|Da '''Debian Stretch''', il modulo arriva già configurato con le opzioni mostrate qui sotto, che erano necessarie per le vecchie versioni di Debian. Se state usando Debian Stretch '''dovete saltare il resto del paragrafo'''.}} | |||
===Fino a Jessie=== | |||
Abilitiamo il modulo appena installato e ci troveremo già con una configurazione minimale funzionante: | Abilitiamo il modulo appena installato e ci troveremo già con una configurazione minimale funzionante: | ||
<pre> | <pre> | ||
# a2enmod mod-security | # a2enmod mod-security | ||
# /etc/init.d/apache2 restart | # /etc/init.d/apache2 restart | ||
</pre> | |||
Come prima cosa, possiamo sostituire la stringa di informazioni della direttiva <code>ServerTokens</code> e renderla ancora più anonima: | |||
<pre> | |||
# nano /etc/apache2/conf.d/security | |||
</pre> | |||
oppure, da Jessie: | |||
<pre> | |||
# nano /etc/apache2/conf-enabled/security | |||
</pre> | |||
Cerchiamo la direttiva <code>ServerTokens</code> e cambiamola in modo apparentemente meno sicuro: | |||
<pre> | |||
ServerTokens Full | |||
</pre> | |||
Quindi cerchiamo la direttiva <code>ServerSignature</code> e cambiamola così: | |||
<pre> | |||
#ServerSignature On | |||
SecServerSignature Web_Server_di_Ferdy | |||
</pre> | </pre> | ||
La forza di questo modulo, però, risiede nella sua possibilità di tuning. Creiamo quindi il file <code>/etc/apache2/conf.d/mod_security</code> e impostiamo una prima configurazione di base personalizzata: | La forza di questo modulo, però, risiede nella sua possibilità di tuning. Creiamo quindi il file <code>/etc/apache2/conf.d/mod_security</code> e impostiamo una prima configurazione di base personalizzata: | ||
Riga 604: | Riga 653: | ||
2xx: 0 ( 0.0%) 3xx: 0 ( 0.0%) 4xx: 0 ( 0.0%) 5xx: 0 ( 0.0%) | 2xx: 0 ( 0.0%) 3xx: 0 ( 0.0%) 4xx: 0 ( 0.0%) 5xx: 0 ( 0.0%) | ||
</pre> | </pre> | ||
== Asql == | |||
Questo pacchetto contiene un semplice strumento che permette di fare facilmente interrogazioni SQL sui comuni file di log di Apache. | |||
<br/> | |||
Può dare informazioni più chiarificanti rispetto alla visione di analisi statiche dei file di log. Per installarlo: | |||
<pre> | |||
# apt-get install asql | |||
</pre> | |||
Una volta installato, avviamolo con: | |||
<pre> | |||
# asql | |||
</pre> | |||
Quindi, come prima cosa, carichiamo il file di log che vogliamo analizzare: | |||
<pre> | |||
asql v1.5 - type 'help' for help. | |||
asql> load /var/log/apache2/access.log | |||
Loading: /var/log/apache2/access.log | |||
asql> | |||
</pre> | |||
Quella che segue è una veloce sessione in Asql dove vengono impostati alcuni alias: | |||
<pre> | |||
asql> select COUNT(id) FROM logs | |||
5277 | |||
asql> alias hits SELECT COUNT(id) FROM logs | |||
ALIAS hits SELECT COUNT(id) FROM logs | |||
asql> alias ips SELECT DISTINCT(source) FROM logs; | |||
ALIAS ips SELECT DISTINCT(source) FROM logs; | |||
asql> hits | |||
5277 | |||
asql> ips | |||
127.0.0.1 | |||
160.78.28.135 | |||
184.73.137.204 | |||
217.201.81.207 | |||
31.44.184.50 | |||
65.52.109.151 | |||
66.220.149.245 | |||
66.220.149.251 | |||
67.207.141.237 | |||
79.10.163.223 | |||
80.76.69.7 | |||
82.50.107.25 | |||
92.240.68.153 | |||
93-58-79-25.ip157.fastwebnet.it | |||
93.144.42.66 | |||
93.58.79.25 | |||
crawl-66-249-68-22.googlebot.com | |||
crawl-66-249-72-170.googlebot.com | |||
crawl-66-249-72-209.googlebot.com | |||
host-89-107-230-194.routergate.com | |||
host223-163-dynamic.10-79-r.retail.telecomitalia.it | |||
klopstock.ce.unipr.it | |||
localhost | |||
msnbot-65-52-109-151.search.msn.com | |||
net-93-144-42-66.cust.dsl.teletu.it | |||
ns1.eliteturk.net | |||
proxy-03.icteam.it | |||
asql> quit | |||
</pre> | |||
Per un utilizzo approfondito di questo strumento consiglio una letture alle pagine man. | |||
== Ulteriori configurazioni == | == Ulteriori configurazioni == | ||
Riga 628: | Riga 741: | ||
* [http://www.debuntu.org/2006/08/13/86-secure-your-apache2-with-mod-security Debuntu - Secure your Apache] | * [http://www.debuntu.org/2006/08/13/86-secure-your-apache2-with-mod-security Debuntu - Secure your Apache] | ||
* [http://isp-control.net/documentation/howto:security:mod_security_on_debian ISP CP Omega] | * [http://isp-control.net/documentation/howto:security:mod_security_on_debian ISP CP Omega] | ||
{{Autori | |||
|Autore = [[Utente:Ferdybassi|Ferdybassi]] 22:10, 11 nov 2010 (CET) | |||
}} | |||
[[Categoria:Web server]] | [[Categoria:Web server]] | ||
[[Categoria:Debian e sicurezza]] | [[Categoria:Debian e sicurezza]] |