Protegendo um servidor Apache no CentOS 6

• Etapa 1 - Instalando o Servidor da Web
• Etapa 2 - Protegendo seus diretórios pessoais
• Etapa 3 - Aplique um patch de segurança ao Apache para separação de privilégios do usuário
• Etapa 3 - Criando seu primeiro host virtual
• Etapa 4 - Configurando o Apache para executar como outro usuário
• Etapa 5 - Ocultando a versão do Apache
• Etapa 6 - Reiniciando o Apache para aplicar as alterações
• Conclusão

É fácil usar atalhos ao proteger um servidor, mas você corre o risco de perder dados caso um invasor obtenha acesso root a qualquer um dos seus servidores. Mesmo para instalações simples, você precisa proteger seu servidor com antecedência. Proteger servidores é um tópico amplo e varia de acordo com o SO e os aplicativos executados neles.

Este tutorial se concentra em proteger o Apache no CentOS 6. Existem algumas etapas pós-instalação que você pode seguir para se proteger da escalada de privilégios e de ataques sub-privilegiados.

Sem mais delongas, vamos começar.

Etapa 1 - Instalando o Servidor da Web

Obviamente, se você não possui o Apache ou PHP instalado, faça isso agora. Execute este comando como usuário root ou use sudo:

yum install httpd php

Etapa 2 - Protegendo seus diretórios pessoais

Agora que o Apache está instalado, vamos em frente e comece a protegê-lo. Primeiro, queremos garantir que os diretórios de outros usuários não sejam visíveis por ninguém, exceto pelo proprietário. Vamos chmod todos os diretórios pessoais para 700, para que apenas os respectivos proprietários dos diretórios pessoais possam visualizar seus próprios arquivos. Execute este comando como root ou use sudo:

chmod 700 /home
chmod 700 /home/*
chmod 700 /home/*/*

Ao usar curingas, cobrimos todos os arquivos que atualmente residem no diretório inicial.

Etapa 3 - Aplique um patch de segurança ao Apache para separação de privilégios do usuário

Antes de corrigir o Apache, precisamos primeiro instalar o repositório que contém o pacote com o patch. Execute os seguintes comandos como root (ou sudo).

yum install epel-release
yum install httpd-itk

Com "apache2-mpm-itk", podemos dizer qual usuário PHP deve rodar com base no host virtual. Ele adiciona uma nova opção de configuração AssignUserId virtualhost-user virtualhost-user-group, que permite que o Apache / PHP execute o código do usuário em uma conta de usuário específica.

Se você estiver compartilhando este servidor, presumo que você já tenha criado um host virtual para o Apache antes. Nesse caso, você pode pular para a etapa 4.

Etapa 3 - Criando seu primeiro host virtual

Você pode seguir o modelo abaixo para criar um host virtual no Apache.

NameVirtualHost mytest.website

<VirtualHost mytest.website>

DocumentRoot /home/vhost-user/public_html
ServerName mytest.website
</VirtualHost>

Abra o seu editor de texto favorito /etc/httpd/conf.d/example-virtualhost.confe adicione o conteúdo acima. Aqui está o comando para usar o nano:

nano /etc/httpd/conf.d/example-virtualhost.conf

Deixe-me explicar a configuração aqui. Quando especificamos "NameVirtualHost", na verdade estamos dizendo ao servidor da Web que estamos hospedando vários domínios em um IP . Agora, neste exemplo, eu usei mytest.websitecomo um domínio de exemplo. Mude isso para o seu ou para um domínio de sua escolha. DocumentRooté o que informa ao Apache onde o conteúdo está localizado. ServerNameé uma diretiva que usamos para informar ao Apache o domínio do site. E uma última tag, </VirtualHost>que diz ao Apache que é o fim da configuração do host virtual.

Etapa 4 - Configurando o Apache para executar como outro usuário

Como mencionado anteriormente, parte da proteção do servidor inclui a execução do Apache / PHP como um usuário separado para cada host virtual. Dizer ao Apache para fazer isso é simples depois de aplicar o patch - tudo o que você precisa fazer é adicionar:

AssignUserId vhost-user vhost-user-group

... para sua configuração. Aqui está a aparência do host virtual de exemplo depois de adicionarmos esta opção:

NameVirtualHost mytest.website

<VirtualHost mytest.website>

DocumentRoot /home/vhost-user/public_html
ServerName mytest.website
AssignUserId vhost-user vhost-user-group

</VirtualHost>

A mágica está na linha que começa com AssignUserId. Com esta opção, estamos dizendo ao Apache / PHP para executar como o seguinte usuário / grupo.

Etapa 5 - Ocultando a versão do Apache

Este passo é bastante simples; basta abrir o arquivo de configuração do Apache executando o seguinte comando como usuário root:

nano /etc/httpd/conf/httpd.conf

Encontre "ServerTokens" e altere a opção depois para "ProductOnly". Isso diz ao Apache para revelar apenas que é "Apache", em vez de "Apache / 2.2" ou algo semelhante.

Etapa 6 - Reiniciando o Apache para aplicar as alterações

Agora que protegemos o servidor, devemos reiniciar o servidor Apache. Faça isso executando o seguinte comando como root ou com sudo:

service httpd restart

Conclusão

Estas são apenas algumas etapas que você pode executar para proteger seu servidor. Mais uma vez, mesmo se alguém em quem você confia estiver hospedando um site no seu servidor, planeje protegê-lo. Nos cenários acima, mesmo se uma conta de usuário estiver comprometida, o invasor não terá acesso a todo o servidor.