Tips Seguridad Servidor WEB – Hardening Secure Apache Web Server

El presente instructivo tiene como finalidad mostrar algunas recomendaciones de configuraciones que pueden ser aplicadas en servidor web apache2 para su protección.

El presente instructivo ha sido actualizado y es aplicado perfectamente a servidor Web Apache versión 2.4

Aplicaciones o configuraciones complementarias:

Recomendaciones a nivel de sistema operativo:

1. Cambiar el directorio por defecto donde es alojada los website en apache. Por defecto Apache 2.4 crea un directorio “/var/www/html” en el cual es colocado los website o páginas a servir, es recomendable cambiarlos o crear uno nuevo, ejemplo /opt/www/html o /srv/www/html.

admin@servidor:/$ sudo mkdir -p /opt/www/html

2. Se recomienda efectuar cambios a nivel de fstab de las opciones de montaje del directorio “/srv”, habilitando las siguientes opciones:

  • -nodev: Impide la interpretación de los dispositivos especiales o de bloques del sistema de archivos
  • -nosuid: Bloquea el funcionamiento de suid, y sgid bits. suid permite a los usuarios comunes ejecutar binarios con privilegios concedidos temporalmente
  • -noexec: No permite la ejecución de binarios que se encuentren en el sistema de archivos. Muy pendiente con el código o aplicativo que se utilizará con el servidor apache, ya que si tienen un binario, el mismo no podrá ser ejecutada

Ejemplo de una entrada en fstab:

/dev/mapper/VolGroup-lvsrv /opt   ext4   nodev,nosuid,noexec   0    2

Recomendaciones a nivel de aplicativo Apache 2.4
Configuración

Evita la búsquedas de DNS para que los nombres de host se pueden registrar
1. Editar archivo de configuración de apache2:

admin@servidor:/$ sudo nano /etc/apache2/apache2.conf

Leer más »