Apache系统安全基线规范
2019年10月

目　录

本文档适用于Apache服务器。本规范明确了Apache服务器安全配置方面的基本要求。
1 账号管理、认证授权
1.1.1 ELK-Apache-01-01-01
编号
ELK-Apache-01-01-01
名称
以特定用户运行服务
实施目的
以特定用户运行服务,不要使用系统管理员账号启动APACHE下载apache
问题影响
越权使用造成非法攻击。
系统当前状态
# ps -aux | grep httpd | grep -v grep
# ls -al `which apachectl`
# apachectl –V | grep SERVER_CONFIG
Solaris用ps -ef代替ps -aux查看当前进程
实施步骤
一般情况下，Apache是由Root 来安装和运行的。如果Apache Server进程具有Root用户特权，那么它将给系统的安全构成很大的威胁，应确保Apache Server进程以最可能低的权限用户来运行。通过修改f文件中的下列选项，以Nobody用户运行Apache 达到相对安全的目的。
备份f文件
修改：
  User nobody
Group# -1
重启APACHE
./apachectl restart
回退方案
恢复f文件，重启APACHE
判断依据
判断是否漏洞。
实施风险
中
重要等级
★★★
1.1.2 ELK-Apache-01-01-02
编号
ELK-Apache-01-01-02
名称
ServerRoot目录的权限
实施目的
非超级用户不能修改该目录中的内容
问题影响
非法修改
系统当前状态
# ls –al /usr/local/apache
实施步骤
为了确保所有的配置是适当的和安全的，需要严格控制Apache 主目录的访问权限，使非超级用户不能修改该目录中的内容。Apache 的主目录对应于Apache Server配置文件f的Server Root控制项中，应为：
  Server Root /usr/local/apache
回退方案
恢复目录权限
判断依据
尝试修改，看是否能修改。
实施风险
中
重要等级
★★
备注
1.1.3 ELK-Apache-01-01-03

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。