Apache bleibt die weltweit führende Webserver-Software mit einem Marktanteil von 45,8%. Das sind rund 80 Millionen Websites, deren Webserver von Apache betrieben werden. Ziemlich beeindruckend, oder?
Apache ist eine Open-Source-Webserver-Software, die es seit 1995 gibt. Sie spricht daher nur Bände über ihre Zuverlässigkeit und Langlebigkeit. Dann gibt es die hochkarätigen Websites, die auf Apache-Servern ausgeführt werden – Apple, Adobe und Paypal sind nur einige der großen Marken, die Apache ihre Websites anvertrauen.
Das macht Apache natürlich nicht 100% sicher, da keine Software 100% sicher vor Hackern ist, insbesondere wenn es sich um eine so bekannte und vertrauenswürdige Plattform handelt (wie WordPress). Wenn Sie jedoch nach einem E-Book, einem Modul, einer Anleitung, einem Tutorial, einem Framework oder einer Checkliste für die Sicherheit von Apache-Webservern suchen, sind Sie hier genau richtig.
Wenn Sie Ihre Apache-Sicherheit verbessern möchten oder Apache-Sicherheitsprobleme haben oder versuchen, eine oder zwei Sicherheitsanfälligkeiten zu beheben, finden Sie in der folgenden Checkliste 14 bewährte Sicherheitsmethoden, die Sie Ihrem Website-Sicherheitsplan hinzufügen können.
Die Apache Security Best Practices-Checkliste
Für diejenigen unter Ihnen, die Ihre WordPress-Website wirklich stärken möchten, ist es wichtig, Apache wie jede andere Software zu sichern, die Ihre Website verbindet und mit Strom versorgt. Wenn Sie dies nicht tun, kann dies sogar die Geschwindigkeit Ihrer Website beeinträchtigen. So machen Sie es also:
1. Aktualisieren Sie Apache
Wissen Sie, dass WordPress und die von Ihnen installierten Plugins und Themes regelmäßig aktualisiert werden müssen? Ihr Webserver auch.
Wenn Sie nervös sind, dass Ihre Site nicht mit der neuesten Version von Apache ausgeführt wird, können Sie dies mit einer httpd -v-Befehlszeile überprüfen. Wenn die veröffentlichte Version nicht mit der aktuellen Apache-Version übereinstimmt, können Sie sie wie folgt aktualisieren:
# yum update httpd
# apt-get install (Apache-Version hier hinzufügen) c
2. Schalten Sie die Register ein
Wenn Sie mit einem verwalteten WordPress-Hosting-Anbieter zusammenarbeiten, wird dieser Ihren Server und WordPress auf Schwachstellen und andere Warnzeichen überwachen. Sie sollten jedoch auch den Serververkehr im Auge behalten.
Mit Apache können Sie auf dieses Aktivitätsprotokoll zugreifen, indem Sie Ihr Modul mod_log_config aktualisieren. Grundsätzlich erfahren Sie jedes Mal, was Benutzer tun, wenn sie Ihren Server berühren.
3. Besorgen Sie sich ein SSL-Zertifikat
Da Ihr Webserver alle Browser- / Serveranforderungen an Ihre Website verarbeitet, ist es wichtig, diese mit einem SSL-Zertifikat zu sichern. Die gute Nachricht ist, dass Sie jetzt kostenlos ein SSL-Zertifikat erhalten können. Dies ist heute wichtiger denn je. Wenn Sie also nicht über die technische Fähigkeit verfügen, es selbst zu installieren, kann dies jeder hochwertige Hosting-Anbieter für Sie tun.
4. Fügen Sie eine Firewall hinzu
Zusätzlich zum zusätzlichen Schutz der SSL-Verschlüsselung muss Ihr Webserver mit einer Firewall ausgestattet sein. Für Apache bedeutet dies, ModSecurity zu aktivieren.
Um es auf Ihrem Server zu installieren, können Sie Folgendes ausführen:
# yum install mod_security
# /etc/init.d/httpd Neustart
Sobald die Firewall hochgefahren ist, wird verhindert, dass eine Reihe von böswilligen Aktivitäten auf Ihren Server gelangen, z. B. SQL-Injection, Sitzungsentführung und Cross-Site-Scripting.
Inhaltsaktualisierung
Kostenlose Apache-Sicherheitscheckliste
(4 Seiten) Die 21-Stufen-Checkliste für
Sichern Sie eine zu 99,9% sichere WordPress-Website
herunterladen
5. Installieren Sie mod_evasive
Mod_evasive ist das Modul, das Ihren Apache-Server vor Brute-Force- und DDoS-Angriffen schützt. Stellen Sie daher sicher, dass er ebenfalls aktiviert ist. Gleichzeitige und fehlgeschlagene Anmeldeversuche werden auf die schwarze Liste gesetzt und schädliche IP-Adressen überwacht.
6. Legen Sie die HTTP-Grenzwerte fest
DDoS-Angriffe (Distributed Denial of Service) sind recht einfach zu blockieren, wenn Sie wissen, auf welche Arten von Aktionen Sie achten müssen. Da DDoS in der Regel auftritt, indem Sie Ihren Server wiederholt mit großen Anforderungen treffen, sollte Ihr Ziel darin bestehen, Grenzwerte festzulegen, die dies verhindern.
Dies sind einige der Grenzen, die Sie festlegen möchten:
- KeepAlive = on
- Die Wartezeit am Leben erhalten
- LimitRequestBody
- LimitRequestFields
- LimitRequestFieldSize
- LimitRequestLine
- LimitXMLRequestBody
- Maximale Anzahl von Kunden
- MaxKeepAliveRequests
- MaxRequestWorkers
- RequestReadTimeout
- Die Zeit ist um
7. Löschen Sie nicht verwendete Module
Wenn Sie nicht verwendete, nicht gewartete oder abgelaufene Module auf Ihrem Apache-Server belassen, bleibt Ihre Site für Hacker über einen Einstiegspunkt offen, der nicht einmal vorhanden sein muss.
Als erstes müssen Sie herausfinden, welche Module tatsächlich aktiv sind. Sie können dies mit einem LoadModule-Befehl tun. Wenn Sie die Liste durchgesehen und festgestellt haben, welche Module Sie nicht benötigen, fügen Sie einfach das Symbol “#” vor jedem Modul hinzu, das Sie deaktivieren möchten, und starten Sie den Computer neu.
8. Ändern Sie den Standardbenutzer und die Standardgruppe
Die Standardeinstellungen und die Benutzer, die in einer Software im Allgemeinen verbleiben, sind eine schlechte Sicherheitspraxis. Der Grund dafür ist einfach: Wenn Sie den Standardbenutzernamen oder die Standardgruppe von Apache verwenden, können Sie darauf wetten, dass Hacker auch wissen, wie diese Standardnamen lauten.
Anstatt die Standardeinstellungen beizubehalten, müssen Sie ein neues nicht privilegiertes Konto erstellen, um Ihre Apache-Prozesse auszuführen. Mit den Befehlen # groupadd und # useradd können Sie die neuen Entitäten festlegen. Denken Sie daran, Ihre httpd.conf mit den neuen Benutzer- und Gruppennamen zu aktualisieren, die Sie erstellt haben.
9. Blockieren Sie den Verzeichniszugriff
Hier ist ein weiteres Beispiel für die Standardeinstellungen, die geändert werden sollten. In diesem Fall ist es der Zugriff auf die Dateien in Ihrem Verzeichnis, mit dem jeder nach Belieben suchen kann.
Verwenden Sie den folgenden Befehl, um einen Gesamtblock einzurichten:
Benötigen Sie alle verweigert
Wenn Sie den Zugriff für bestimmte Benutzer aktivieren möchten, können Sie dies folgendermaßen tun:
Benötigen Sie alle gewährt
Wenn Sie den Zugriff auf bestimmte Ordner im Verzeichnis aktivieren möchten, können Sie dies folgendermaßen tun:
Benötigen Sie alle gewährt
Möglicherweise möchten Sie auch das Apache-Modul-Repository durchsuchen, um die Zugriffsrechte der Benutzer weiter anzupassen.
10. Veröffentlichen Sie das Verzeichnis nicht
Wussten Sie, dass Benutzer Ihren gesamten Inhalt sehen können, den Sie in Ihrem Stammverzeichnis gespeichert haben, wenn Ihr Server keine Indexdatei hat? Das ist natürlich nicht gut, daher müssen Sie diese Standardeinstellung wie folgt deaktivieren:
Options-Indizes
11. Serverdetails ausblenden
Da es sich bei Apache um Open Source-Software handelt, sind Details zur verwendeten Version sofort verfügbar, wenn diese Einstellung auf der Serverseite nicht deaktiviert ist. Da Hacker diese vertraulichen Informationen verwenden können, um herauszufinden, wie sie auf Ihren Server gelangen, sollten Sie diese Informationen blockieren.
Es gibt zwei Dinge, die Sie deaktivieren möchten:
- ServerSignature – Was ist die Apache-Version?
- ServerTokens: Enthält neben anderen vertraulichen Details des Servers auch die Version des Betriebssystems
Andere Benutzer können diese Informationen einfach durch Anzeigen einer Fehlerseite auf Ihrer Website finden. Daher ist es sehr wichtig, zu verhindern, dass sie angezeigt werden. Aktualisieren Sie dazu httpd.conf wie folgt:
ServerSignature Off
ServerTokens Prod
12. Verstecken Sie den ETag
Der ETag-Header in Apache enthält leider eine Reihe vertraulicher Details zu Ihrem Server. Offensichtlich sollte alles verborgen sein, was diese Art von Informationen mit der Außenwelt teilt. Wenn Sie eine E-Commerce-Website betreiben, müssen Sie diese ausblenden, um die PCI-Anforderungen zu erfüllen.
Fügen Sie dazu Ihrer httpd.conf die folgende Anweisung hinzu:
FileETag Keine
13. Deaktivieren Sie .htaccess Override
Der .htaccess ist eine wichtige Datei für jede WordPress-Website. Aus diesem Grund müssen Sie es sperren und sicherstellen, dass niemand Ihre Konfigurationseinstellungen überschreiben kann.
Um dies zu deaktivieren, fügen Sie Ihrer httpd.conf im Stammverzeichnis Folgendes hinzu:
Options-Indizes
AllowOverride Keine
14. Deaktivieren Sie SSI und CGI
Serverseitig aktivierte (SSI) Dateien können Ihre Site bis zu einer Reihe von Sicherheitsproblemen öffnen, wenn sie nicht aktiviert sind. Gleiches gilt für CGI-Skripte. Denken Sie daran, diese zu deaktivieren oder ihre Funktionsweise über die Options-Direktive einzuschränken, um zu verhindern, dass Hacker Ihren Server überlasten oder schädliche Skripte in Ihren Code einfügen können.
Hier sind einige Optionswerte, die Sie verwenden können:
- Alle Optionen
- Zu den Optionen gehört NOEXEC
- Optionen – Beinhaltet
- -ExecCGI-Optionen
- Optionen -Inklusive -ExecCGI
- MultiViews-Optionen
Inhaltsaktualisierung
Kostenlose Apache-Sicherheitscheckliste
(4 Seiten) Die 21-Stufen-Checkliste für
Sichern Sie eine zu 99,9% sichere WordPress-Website
herunterladen
Kümmere dich um deinen Apache Server
Achten Sie besonders auf Ihren Apache-Server, um die Sicherheit Ihrer Website zu erhöhen. Probleme wie falsche Servereinstellungen und das Beibehalten der Standardeinstellungen können Ihre Site genauso gefährden wie einen veralteten Kernel oder unsichere PHP-Codierungspraktiken.
Möchten Sie Ihre Meinung äußern oder sich an der Unterhaltung beteiligen? Fügen Sie Ihre Kommentare hinzu 🐦 in Twitter.
