NessusでVPSサーバー（CentOS6.2）の脆弱性診断を行った際、重要度は”Info”ですが、Webサーバー（Apache）のパージョンが分かってしまうという項目がありました。
Webリクエストに対する応答で、ヘッダーにApacheのバージョン情報が含まれていたのです。
Telnetで確認
TelnetでHTTPリクエストの送受信の様子を表示し、HTTPヘッダーの情報を確認することができます。
# telnet localhost 80 GET / HTTP/1.1 HTTP/1.1 400 Bad Request Date: Wed, 13 Nov 2013 01:31:29 GMT Server: Apache/2.2.15 (CentOS)
上記のようにヘッダーに”Server: Apache/2.2.15 (CentOS)”とApacheのバージョンが表示されています。
バージョンが分かると各バージョン固有の脆弱性が分かるので、リスクが高まってしまいます
Apacheの設定変更
修正方法もNessusのレポートに記載されています。以下のように修正します。
ServerTokens OS
↓
ServerTokens Prod[uctOnly]
上記設定変更後、Apacheを再起動します。
●修正後の確認
Telnetで確認します。
# telnet localhost 80 GET / HTTP/1.1 HTTP/1.1 400 Bad Request Date: Wed, 13 Nov 2013 01:36:33 GMT Server: Apache
Apacheのバージョンは表示されないようになりました。
関連記事の目次- VPSサーバーでスナップショットを取得
- ～障害に備え、リカバリーポイントを作成。
- VPSサーバーにログインして、設定内容を確認
- ～グローバルIPアドレス確認、SSHキーを作成。
- VPSサーバーにSSHでログイン
- ～Tera Term、SSH、公開鍵認証方式
- yumコマンドで最新のパッケージにアップデート
- ～全パッケージを最新にアップデート
- Apacheのインストール
- ～yumコマンドでApacheインストール、iptablesでファイアウォールの設定
- PHPとMySQLをインストール
- ～yumコマンドでPHP、MySQLインストール
- WinSCPを使ってWordPressをアップロード
- ～WinSCPをクライアントPCにインストール、ファイルアップロード方法
- WordPressをインストール
- ～MySQLでWordPress用データベース作成、wp-config.phpファイルの設定
- CentOSのファイアウォール設定
- ～iptablesを使ってネットワークフィルタリング設定を一から行う
- OpenSSHの設定をよりセキュアに
- ～ログイン制限、ポート変更、認証方式
- ApacheでTCPのTraceメソッドを無効にする
- ～Apacheの設定変更、Telnetで動作確認
- ヘッダーにApacheバージョンが表示されないようにする
- ～Apacheの設定変更、Telnetで動作確認
- Apacheでディレクトリ内一覧表示を無効にする
- ～autoindex_moduleのロードを無効にする
- セキュリティを考慮し、MySQLの匿名ユーザーにパスワードを設定、または削除
- ～MySQLの匿名ユーザーにパスワードを設定、または削除
- PHPのバージョンが表示されないようにする
- ～php.iniの設定変更
- WordPressディレクトリのパーミッションをセキュアに
- ～WordPress用ディレクトリの所有グループ、ユーザー、パーミッション設定
- パーマリンク設定時のApache設定
- ～WordPressパーマリンクの設定、Apache .htaccessの設定
- WordPressテーマの選定
- ～テーマ追加の特徴フィルターの項目、テンプレートキング
- WordPressで画像のアップロード、サイズ調整、リンクを設定
- ～アップロード画像の画像サイズ、サムネイル、画像編集、リンク設定
- 更新可能なRPMパッケージのリストをメールで送信する
- ～yumコマンド、Bashスクリプト、Cron
- Linuxでディスク使用量が多いディレクトリを調べる方法（１）
- ～du --max-depth
- Linuxでディスク使用量が多いディレクトリを調べる方法（２）
- ～duコマンド、sortコマンド
- WordPressデータベースのバックアップとリストア
- ～コマンドラインでバックアップ、リストア
- WordPressのバージョンアップと旧バージョンへの戻し
- ～データベースとディレクトリのバックアップ、リストア
- BashスクリプトでWordPressデータベースを自動バックアップ
- ～MySQLデータベースをBash、Cronを使って自動バックアップ、メール通知
- BashスクリプトでDos攻撃など大量アクセスのログを検知
- ～Apacheアクセスログ、Dos、Cron、メール通知