Sécurisation dun serveur Apache sur CentOS 6

• Étape 1 - Installation du serveur Web
• Étape 2 - Sécurisation de vos répertoires personnels
• Étape 3 - Appliquer un correctif de sécurité à Apache pour la séparation des privilèges utilisateur
• Étape 3 - Création de votre premier hôte virtuel
• Étape 4 - Configuration d'Apache pour s'exécuter en tant qu'autre utilisateur
• Étape 5 - Masquer la version d'Apache
• Étape 6 - Redémarrer Apache pour appliquer les modifications
• Conclusion

Il est facile de prendre des raccourcis lors de la sécurisation d'un serveur, mais vous risquez de perdre des données si un attaquant obtient un accès root à l'un de vos serveurs. Même pour des installations simples, vous devez au préalable sécuriser votre serveur. La sécurisation des serveurs est un sujet large et varie en fonction du système d'exploitation et des applications qui y sont exécutées.

Ce didacticiel se concentre sur la sécurisation d'Apache sous CentOS 6. Il y a quelques étapes de post-installation que vous pouvez prendre pour vous protéger contre l'escalade de privilèges, ainsi que les attaques sous-privilégiées.

Sans plus tarder, commençons.

Étape 1 - Installation du serveur Web

Bien sûr, si vous n'avez pas installé Apache ou PHP, vous devriez le faire maintenant. Exécutez cette commande en tant qu'utilisateur root ou utilisez sudo:

yum install httpd php

Étape 2 - Sécurisation de vos répertoires personnels

Maintenant qu'Apache est installé, allons-y et commençons à le sécuriser. Tout d'abord, nous voulons nous assurer que les répertoires des autres utilisateurs ne sont visibles par personne, sauf par le propriétaire. Nous modifions tous les répertoires personnels à 700, afin que seuls les propriétaires respectifs des répertoires personnels puissent afficher leurs propres fichiers. Exécutez cette commande en tant que root ou utilisez sudo:

chmod 700 /home
chmod 700 /home/*
chmod 700 /home/*/*

En utilisant des caractères génériques, nous couvrons tous les fichiers résidant actuellement dans le répertoire personnel.

Étape 3 - Appliquer un correctif de sécurité à Apache pour la séparation des privilèges utilisateur

Avant de patcher Apache, nous devons d'abord installer le référentiel qui contient le paquet avec le patch. Exécutez les commandes suivantes en tant que root (ou sudo).

yum install epel-release
yum install httpd-itk

Avec "apache2-mpm-itk", nous pouvons dire quel utilisateur PHP doit fonctionner en fonction de l'hôte virtuel. Il ajoute une nouvelle option de configuration AssignUserId virtualhost-user virtualhost-user-group, qui nous permet de dire à Apache / PHP d'exécuter le code utilisateur sous un compte utilisateur spécifique.

Si vous partagez ce serveur, je suppose que vous avez déjà créé un hôte virtuel pour Apache auparavant. Dans ce cas, vous pouvez passer à l'étape 4.

Étape 3 - Création de votre premier hôte virtuel

Vous pouvez suivre le modèle ci-dessous pour créer un hôte virtuel dans Apache.

NameVirtualHost mytest.website

<VirtualHost mytest.website>

DocumentRoot /home/vhost-user/public_html
ServerName mytest.website
</VirtualHost>

Ouvrez votre éditeur de texte préféré /etc/httpd/conf.d/example-virtualhost.confet ajoutez-y le contenu ci-dessus. Voici la commande pour utiliser nano:

nano /etc/httpd/conf.d/example-virtualhost.conf

Permettez-moi d'expliquer la configuration ici. Lorsque nous spécifions "NameVirtualHost", nous indiquons en fait au serveur Web que nous hébergeons plusieurs domaines sur une seule IP . Maintenant, dans cet exemple, j'ai utilisé mytest.websitecomme exemple de domaine. Remplacez-le par le vôtre ou un domaine de votre choix. DocumentRootest ce qui indique à Apache où se trouve le contenu. ServerNameest une directive que nous utilisons pour indiquer à Apache le domaine du site Web. Et une dernière balise, </VirtualHost>qui indique à Apache que c'est la fin de la configuration de l'hôte virtuel.

Étape 4 - Configuration d'Apache pour s'exécuter en tant qu'autre utilisateur

Comme mentionné précédemment, une partie de la sécurisation de votre serveur comprend l'exécution d'Apache / PHP en tant qu'utilisateur distinct pour chaque hôte virtuel. Dire à Apache de le faire est simple après avoir appliqué le patch - tout ce que vous devez faire est d'ajouter:

AssignUserId vhost-user vhost-user-group

... à votre configuration. Voici à quoi ressemblerait l'hôte virtuel après avoir ajouté cette option:

NameVirtualHost mytest.website

<VirtualHost mytest.website>

DocumentRoot /home/vhost-user/public_html
ServerName mytest.website
AssignUserId vhost-user vhost-user-group

</VirtualHost>

La magie est dans la ligne commençant par AssignUserId. Avec cette option, nous demandons à Apache / PHP de s'exécuter en tant qu'utilisateur / groupe suivant.

Étape 5 - Masquer la version d'Apache

Cette étape est assez simple; ouvrez simplement le fichier de configuration d'Apache en exécutant la commande suivante en tant qu'utilisateur root:

nano /etc/httpd/conf/httpd.conf

Recherchez «ServerTokens» et remplacez l'option par la suite par «ProductOnly». Cela indique à Apache de révéler uniquement qu'il s'agit de "Apache", au lieu de "Apache / 2.2" ou quelque chose de similaire.

Étape 6 - Redémarrer Apache pour appliquer les modifications

Maintenant que nous avons sécurisé le serveur, nous devons redémarrer le serveur Apache. Pour ce faire, exécutez la commande suivante en tant que root ou avec sudo:

service httpd restart

Conclusion

Ce ne sont que quelques étapes que vous pouvez suivre pour sécuriser votre serveur. Encore une fois, même si c'est une personne de confiance qui héberge un site Web sur votre serveur, vous devez prévoir de le protéger. Dans les scénarios ci-dessus, même si un compte utilisateur est compromis, l'attaquant n'aura pas accès à l'ensemble du serveur.