CentOS上でApacheを使用していますが、OS側で行うApacheに関わるセキュリティ設定についてまとめました。
下記資料を参考にしました。
NSA（National Security Agency）の『Guide to the Secure Configuration of Red Hat Enterprise Linux 5』
※目次をクリックすると目次の下部にコンテンツが表示されます。
chroot
●chrootとは
chrootを実行すると、ルートパスが指定されたパスに置き換わり、そのパスより上部のパスにはアクセスできなくなります。
これによってそのサービスを特定のファイル名前空間に隔離することができます。
Apacheをchrootを使って実行するとたとえApacheが不正アクセスを受けたとしてもその被害をファイルシステム内の限られた領域内にとどめることが出来ます。
●設定方法
・/etc/httpd/conf/httpd.confに下記設定を追加します。
SecChrootDir /chroot/apache
※参考
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#wiki-SecChrootDir
・Apacheによって必要とされるすべてのファイル（Apacheのバイナリ、モジュール、設定ファイル、Webページなど）を/chroot/apacheディレクトリ内に置く必要があります。
chrootを実行すると、ルートパスが指定されたパスに置き換わり、そのパスより上部のパスにはアクセスできなくなります。
これによってそのサービスを特定のファイル名前空間に隔離することができます。
Apacheをchrootを使って実行するとたとえApacheが不正アクセスを受けたとしてもその被害をファイルシステム内の限られた領域内にとどめることが出来ます。
●設定方法
・/etc/httpd/conf/httpd.confに下記設定を追加します。
SecChrootDir /chroot/apache
※参考
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#wiki-SecChrootDir
・Apacheによって必要とされるすべてのファイル（Apacheのバイナリ、モジュール、設定ファイル、Webページなど）を/chroot/apacheディレクトリ内に置く必要があります。
iptables（/etc/sysconfig/iptables）で許可するポート番号、状態を設定
参考資料における推奨設定例を示します。
設定ファイル内の該当チェインのLOG、DROPのルールより上の行に下記ルールを追加します。
-A RH-Firewall-1-INPUT -m state –state NEW -p tcp –dport 80 -j ACCEPT
-A RH-Firewall-1-INPUT -m state –state NEW -p tcp –dport 443 -j ACCEPT
設定ファイル内の該当チェインのLOG、DROPのルールより上の行に下記ルールを追加します。
-A RH-Firewall-1-INPUT -m state –state NEW -p tcp –dport 80 -j ACCEPT
-A RH-Firewall-1-INPUT -m state –state NEW -p tcp –dport 443 -j ACCEPT
ファイル、ディレクトリの権限設定
参考資料における推奨の設定例を示します。
# chmod 511 /usr/sbin/httpd
# chmod 750 /var/log/httpd/
# chmod 750 /etc/httpd/conf/
# chmod 640 /etc/httpd/conf/*
# chgrp -R apache /etc/httpd/conf
# chmod 511 /usr/sbin/httpd
# chmod 750 /var/log/httpd/
# chmod 750 /etc/httpd/conf/
# chmod 640 /etc/httpd/conf/*
# chgrp -R apache /etc/httpd/conf
-
インストール、設定全般、運用
- Apacheのインストール
- Apache初期設定確認
- Apacheの静的、DSOモジュールの確認、インストール方法
- Apacheでconf.dディレクトリ内の設定ファイルのインクルードに注意
- Apacheのhttpdサービスの使用方法
- WordPressパーマリンク設定時のApache設定
- Apache mod_rewriteの仕組み、設定方法、動作確認
- Apacheで特定の拡張子を含むリクエストをログ対象から外す
- CentOS Stream9でApache、PHPを設定する際の注意点
- ApacheのTraceメソッドを無効にする
- ヘッダーにApacheバージョンが表示されないようにする
- PHPのバージョン情報とApacheの設定
- Apacheでディレクトリ内一覧表示を無効にする
- Apacheで不要なモジュールはロードしない
- Apacheで不要なモジュールはロードしない（１）ベーシック認証と認証プロバイダ
- Apacheで不要なモジュールはロードしない（２）ダイジェスト認証
- Apacheで不要なモジュールはロードしない（３）mod_rewrite、LDAP、WebDAV
- Apacheで不要なモジュールはロードしない（４）Server Side Includes
- Apacheで不要なモジュールはロードしない（５）mod_mime_magic
- Apacheで不要なモジュールはロードしない（６）mod_info、mod_status
- Apacheで不要なモジュールはロードしない（７）mod_speling、mod_userdir
- Apacheで不要なモジュールはロードしない（８）プロキシ関連のモジュール
- Apacheで不要なモジュールはロードしない（９）キャッシュ関連のモジュール
- Apacheで不要なモジュールはロードしない（１０）CGI関連のモジュール
- Apacheで不要なモジュールはロードしない（１１）フィルター、expires、圧縮のモジュール
- Apacheでディレクトリへのアクセスを制限する設定方法
- Apacheベーシック認証の設定手順とセキュリティ上の注意
- Apacheで使用できるHTTPメソッドを制限する
- FIPS140-2とApacheのmod_nss
- Apacheにおける自己証明書作成手順
- ApacheにおけるSSL証明書インストール手順
- DoS攻撃からWebサーバーを保護するApacheモジュール
- Apacheに関するLinux側のセキュリティ設定（パーミッション、iptables、chroot）
- Modsecurityの概要と特徴
- Modsecurityのインストール方法
- modsecurityの設定方法と設定例
- Apacheのパフォーマンスに影響を与えるOS、ハードウェアの要素、注意点
- ApacheのMPMの概要とチューニング
- ApacheのMaxClientsのチューニングとListenBacklog
- HostnameLookupsを有効にして名前解決を行う場合のApacheパフォーマンスに与える影響
- FollowSymLinks、SymLinksIfOwnerMatchの設定とApacheのパフォーマンス
- AllowOverrideの設定とApacheのパフォーマンス
- コンテントネゴシエーションの設定とApacheのパフォーマンス
- Apacheのプロセス生成とパフォーマンスに与える影響
セキュリティ
パフォーマンス