Как защитить Apache от уязвимостей безопасности - PullRequest
Новая
       115

Как защитить Apache от уязвимостей безопасности

0 голосов
/ 15 мая 2019

У нас установлена ​​версия APache 2.4.6 на Rhel 7.5. Команда аудита безопасности обнаружила несколько уязвимостей, которые необходимо исправить.

1.) Во время аудита обнаруживается, что веб-сервер подключения уязвим для атаки Slowloris. Для этого предлагается смягчение последствий: Ограничение скорости входящих запросов. Ограничение доступа на основе определенных факторов использования поможет смягчить атаку Slowloris. Такие методы, как ограничение максимального количества подключений, которое может быть выполнено одним IP-адресом, ограничение медленных скоростей передачи и ограничение максимального времени, в течение которого клиенту разрешено оставаться на связи, - все это подходы для ограничения эффективности атак с низкой и медленной скоростью.

2.) Отсутствие HSTS допускает атаки с понижением рейтинга, взлом SSL-атак, а также ослабляет защиту от угона файлов cookie. Смягчение: Настройте удаленный веб-сервер на использование заголовка ответа HSTS.

3.) Во время аудита замечено, что mod_security не реализован, что является брандмауэром безопасности приложения для apache. Смягчение: Внедрите Mod_security для своевременного обнаружения и предотвращения атак безопасности приложений.

Я не имею большого представления о том, как их настроить. Пожалуйста, помогите мне с инструкциями по устранению вышеуказанных проблем.

1 Ответ

0 голосов
/ 12 июля 2019

Я могу указать вам правильное направление, возможно, но полная конфигурация / настройка для двух из них не подходит для коротких контрольных списков.

1) mod_qos - это способ ограничить ваше воздействие на slowloris,Он предназначен для использования на сервере reverse_proxy.Не уверен, что это соответствует вашей ситуации, но это место для вас, чтобы начать искать.Я не уверен, что может быть достигнут полный иммунитет к медленному, по крайней мере, без возможности потратить на него много денег.

http://mod -qos.sourceforge.net

2) Это легко.Для apache, поместите это в файл конфигурации сайта: 

  Header always set Strict-Transport-Security "max-age=15638400"

По сути, пользователь-агент никогда не думает об использовании http, только https, на этом сайте в течение следующих 6 месяцев (примерно).

https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Strict-Transport-Security

3) mod_security должен быть доступен в одном из репозиториев RHEL (возможно, EPEL), настройка и конфигурация которого могут стать сложными, поэтому начните здесь:

https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual-(v2.x)

(Это руководство для версии 2.x, есть 3.x, но я подозреваю, что это еще не сделано в RHEL, поэтому я публикую версию 2.x)

...