Apache安全设置怎样做

Apache安全设置清单

一 基础安全加固

• 以非特权专用账户运行：在配置中设置User与Group（如：apache/nobody），避免以root运行。
• 最小化模块：禁用不需要的模块（如：mod_info、mod_status、mod_autoindex、mod_cgi），减少攻击面。
• 关闭危险方法与信息泄露：设置TraceEnable Off禁用TRACE；配置ServerSignature Off与ServerTokens Prod隐藏版本与系统信息。
• 禁止目录浏览：在目录段使用Options -Indexes。
• 访问根目录最小化：对**/目录设置Options None与Order deny,allow / Deny from all**，仅对必要目录开放。
• 权限收敛：配置文件如**/etc/httpd/conf/httpd.conf建议chmod 600**；日志如**/var/log/httpd/*.log建议chmod 644**；Web根目录常用755/644并归属www-data/apache等专用用户。

二 传输加密与端口管理

• 启用HTTPS/TLS：部署有效证书（推荐Let’s Encrypt），配置SSLEngine on、SSLCertificateFile与SSLCertificateKeyFile；在Debian/Ubuntu可用certbot --apache自动获取并配置。
• 防火墙放行：仅开放80/443；如用firewalld执行：firewall-cmd --permanent --add-service=http --add-service=https && firewall-cmd --reload；如用ufw执行：ufw allow ‘Apache Full’。
• 端口策略：不建议依赖“改端口”提升安全，优先使用反向代理/负载均衡与WAF；如确需变更，可在Listen指令中调整端口并同步更新防火墙与监控。

三 访问控制与请求限制

• 目录与文件访问控制：在**中使用Require all granted/denied精细控制来源；对管理后台、备份目录等敏感路径仅允许内网/特定IP**访问。
• 禁止访问Web目录外文件：通过配置限制访问范围，避免**…/**路径穿越读取敏感文件。
• 请求限流与防DoS：合理设置Timeout（如：10秒）、KeepAlive On、KeepAliveTimeout（如：15秒）；必要时结合mod_evasive等模块抵御暴力请求。
• 错误页面定制：使用ErrorDocument返回自定义错误页，避免泄露堆栈与路径信息。

四 日志监控与运行时防护

• 日志规范：启用并统一ErrorLog与CustomLog combined格式，记录时间、来源IP、请求行、状态码、UA等关键字段；必要时将错误日志发送至Syslog集中化监控。
• 实时监控：对access.log/error.log进行tail -f与告警；结合fail2ban对频繁4xx/5xx或非法路径访问进行封禁。
• 安全基线核查：定期审计运行账户、模块、权限、端口与TLS配置，形成变更记录与回滚预案。

五 操作系统与平台加固

• 系统与软件更新：定期执行yum/apt update && upgrade，及时修补Apache与依赖组件漏洞。
• 平台安全策略：启用SELinux/AppArmor并配置最小权限策略；在Debian/Ubuntu按需调整mod_headers等安全头策略并启用相关配置。
• 备份与演练：定期备份配置与证书，并在测试环境验证变更；保留回滚方案与应急联系人。