Apache HTTP Server軟件于18年前初次推出，逾十年以來(lái)，該軟件一向都是最風(fēng)行的Web辦事器軟件--Apache占Web辦事器市場(chǎng)的份額超越50%，這也使其成為最熱點(diǎn)的報(bào)復(fù)打擊方針。
安然公司ESET和Sucuri的研究人員發(fā)現(xiàn)了最新針對(duì)Apache的高調(diào)報(bào)復(fù)打擊，報(bào)復(fù)打擊人員試圖尋覓一個(gè)后門(mén)進(jìn)進(jìn)Apache，重定向收集流量到歹意網(wǎng)站，訪(fǎng)客進(jìn)進(jìn)歹意網(wǎng)站后，將被Blackhole縫隙操縱東西包所傳染。這類(lèi)報(bào)復(fù)打擊表白，企業(yè)必需擬定Apache安然最好做法，并且企業(yè)需要意想到，不服安的Apache Web辦事器可能引發(fā)嚴(yán)重的后果。
在這篇文章中，我們將供給最好做法來(lái)幫忙企業(yè)呵護(hù)Apache辦事器抵抗現(xiàn)代報(bào)復(fù)打擊。
Apache安然根本
在良多環(huán)境下，Apache辦事器傳染是因?yàn)檫^(guò)時(shí)的模塊、建設(shè)或乃至Web辦事器托管的Web代碼。為體味決這些標(biāo)題問(wèn)題，企業(yè)應(yīng)當(dāng)利用最新版本的Apache HTTP及其附件，同時(shí)還應(yīng)當(dāng)保持HTTP辦事器的更新，這是相當(dāng)首要的。但是，今朝報(bào)復(fù)打擊者的趨勢(shì)是專(zhuān)注于外部組件框架、模塊和附件，這些方面的縫隙讓Apache HTTP很等閑遭到報(bào)復(fù)打擊，并且很難擺脫。企業(yè)應(yīng)當(dāng)追蹤這些新組件，這便是成功了一半，另外一半則是確保這些數(shù)據(jù)包安裝了最新補(bǔ)丁，和進(jìn)級(jí)到最新版本。別的，在更新時(shí)，企業(yè)還應(yīng)當(dāng)記得要細(xì)心查抄下載來(lái)歷，智慧的報(bào)復(fù)打擊常常試圖將歹意軟件假裝成軟件更新。
除保持更新外，企業(yè)還應(yīng)當(dāng)建設(shè)Apache HTTP Server以將報(bào)復(fù)打擊面減到最小。當(dāng)然這聽(tīng)起來(lái)很簡(jiǎn)單，但這只有系統(tǒng)治理員可以措置的幾十個(gè)考慮身分(凡是還需要與Web開(kāi)辟人員協(xié)作)。例如，漫衍式拒盡辦事報(bào)復(fù)打擊的最新趨勢(shì)是利用起碼量的流量耗損系統(tǒng)資本。這類(lèi)報(bào)復(fù)打擊的影響可以經(jīng)由過(guò)程建設(shè)參數(shù)來(lái)最小化，例如建設(shè)RequestReadTimeout、TimeOut、KeepAliveTimeout 和MaxRequestWorkers來(lái)削減資本耗損值。別的，系統(tǒng)治理員應(yīng)當(dāng)考慮的以下其他身分：
· 利用限制特權(quán)的賬戶(hù)運(yùn)行HTTPd，假定報(bào)復(fù)打擊者試圖報(bào)復(fù)打擊后臺(tái)法度本身的話(huà)，如許做可以或許最大年夜限度地削減對(duì)全部系統(tǒng)的影響。
· 經(jīng)由過(guò)程建設(shè)AllowOverride參數(shù)到None，拒盡對(duì). htaccess文件的利用。這可以或許確保htaccess文件不克不及利用。
· 建設(shè)模式(例如mod_python 和 mod_php)來(lái)利用安然模式，在有需要的處所進(jìn)行這類(lèi)建設(shè)，但在新版本中可能沒(méi)有這個(gè)需要。
· 鎖定文件系統(tǒng)，如許只有根用戶(hù)可以重寫(xiě)Apache二進(jìn)制文件，如許做將避免httpd二進(jìn)制文件被歹意版本替代。
監(jiān)測(cè)Apache報(bào)復(fù)打擊
即便擺設(shè)了呵護(hù)辦法來(lái)呵護(hù)Apache辦事器，企業(yè)仍然必需警戒報(bào)復(fù)打擊者經(jīng)由過(guò)程其他路子“趁虛而進(jìn)”。為了確保報(bào)復(fù)打擊者不會(huì)偷偷潛進(jìn)，企業(yè)必需緊密密切監(jiān)測(cè)其日記來(lái)追蹤報(bào)復(fù)打擊跡象。啟用必然程度的日記記實(shí)，同時(shí)記實(shí)系統(tǒng)程度的HTTPd，和內(nèi)部web后臺(tái)法度。你可以簡(jiǎn)單地成立bash或Python腳本，來(lái)搜刮日記中特定內(nèi)容，或利用內(nèi)置syslogd號(hào)令來(lái)提示治理員暗藏的弊端或報(bào)復(fù)打擊。有效的監(jiān)測(cè)和警報(bào)需要企業(yè)體味所供給的內(nèi)容。一些內(nèi)容(例如利用LDAP用于身份驗(yàn)證)的運(yùn)作編制可能會(huì)導(dǎo)致不太動(dòng)態(tài)的web辦事器生成警報(bào)。假定你的辦事器試牟利用LDAP，而web利用被設(shè)計(jì)為利用本地身份驗(yàn)證，這可能會(huì)引發(fā)報(bào)警。禁用mod_php可能使企業(yè)解除這類(lèi)類(lèi)型的報(bào)復(fù)打擊警報(bào)，從而使真實(shí)的警報(bào)闡揚(yáng)其感化。對(duì)面對(duì)高風(fēng)險(xiǎn)報(bào)復(fù)打擊的web辦事器，考慮啟用mod_log_forensic以獲得對(duì)客戶(hù)端要求的更深進(jìn)視圖。
啟用mod_security，所有系統(tǒng)都可以獲益，但高風(fēng)險(xiǎn)web辦事器獲益最多。該模塊還可使企業(yè)操縱各類(lèi)東西來(lái)檢測(cè)和禁止報(bào)復(fù)打擊。你還可以經(jīng)由過(guò)程IPS、IDS、NIDS和SIEM系統(tǒng)將它集成到現(xiàn)有的企業(yè)安然模式中。mod_security還可以或許作為web利用防火墻，當(dāng)用于可能沒(méi)有最好輸進(jìn)過(guò)濾的web利用時(shí)，它的感化很是巨大年夜。
保持警戒
經(jīng)由過(guò)程擬定這些根基辦法，企業(yè)可以確保Apache HTTP辦事器的安然，同時(shí)以最低風(fēng)險(xiǎn)供給內(nèi)容。把持安然系統(tǒng)最首要的部門(mén)之一就是保持追蹤最新的安然風(fēng)險(xiǎn)和軟件版本。如許做，再加上積極地監(jiān)測(cè)，將可以或許很好地呵護(hù)你的Apache實(shí)例的安然。