Apache güvenliği

0
conan
Bu yazıda Apache'nin dağıtımla gelen halinden daha güvenli bir şekilde çalışabilmesi için yapmanızı tavsiye edeceğim bazı değişiklerlerden bahsedeceğim. Bu tavsiyelerden birçoğu ayar dosyalarıyla ilgili olacağından dolayı Apache httpd.conf dosyası hakkında bilgi edinmiş olmanızı öneririm.
Dağıtımlarla gelen Apache kurulumları çoğu zaman kullanıcıya rahatlık sunması açısından oldukça esnek yapılandırılırlar. Bu ayarlar basit kullanımlar için oldukça yararlıdır fakat güvenliğin on planda olduğu sunucularda gereğinden fazla esnektirler. Bu yüzden ayarlarınızı gözden geçirmenizde fayda var. Bu anlatacağım senaryoları şirketinizin aynası ya da belki de ürünü olacak web sunucularında yaptığınızı gözönünde bulundurmayı unutmayın. Örneğin kullanıcı homepage'lerini silin dediğimde, "aaa olur mu öyle sey!" gibi yorumlar duymak istemiyorum :)

Örneklerin çoğu RedHat baz alınarak verilmiştir.

  1. Kurulum: Makinaniza dagitimla gelen apache'yi kurmaniz ve bu sekilde birakmaniz demek guvenlik acisindan intihar demektir. Derhal apache'nin son surumunu (ister dagitimin guncelleme kanalindan, ister programin kendisini derleyerek) kurun.
  2. Modüller Genelde dagitimla gelen apache Dynamic Shared Object (DSO) ozelligi ile derlenmistir. DSO bize plugin seklinde eklentileri, apache'yle yeniden derlemeye gerek birakmadan kullanmamizi saglar. Dagitimla gelen modullerin bir coguna ihtiyaciniz yoktur. Asagidaki listeden gercektek ihtiyaciniz olmayanlari httpd.conf dosyasindan silin. mod_dav Distributed Authoring and Version
    mod_autoindex Dizinlerin icini otomatik olarak gosterir.
    mod_include Eger sayfalarinizda sunucu tarafindan include'lar yapmıyorsaniz silin.
    mod_info Sunucunun ayarlarini gosterir.
    mod_status Sunucunun durumunu gosterir.
    mod_userdir Kullanici Home dizinleri.
    Tavsiyem ayar dosyasindaki buna benzer mod_* satirlarini inceleyin ve minimum modül aktive edin. Modul referansi icin http://modules.apache.org/ adresine bakin.
  3. Kullanıcı dizini? O da ne? SİLİN! :)

    UserDir disable

    satırını httpd.conf dosyasina ekleyin. Daha da paranoyak olmak istiyorsanız

    LoadModule userdir_module modules/mod_userdir.so

    satırını silin ya da comment out edin.
  4. Dizin izinleri:
    Web sunucunuzun kök dizinin izin ayarlarını biraz daha sıkılaştırın.
    Örneğin
    Aşağıdaki ayar yerine:
    <Directory />
      Options FollowSymLinks
      AllowOverride None
    </Directory>
    
    bu ayarları deneyin:
    <Directory />
      Options None
      AllowOverride None
      Order allow,deny
      Deny from all
    </Directory>
    
  5. Sunucu bilgi gizleme.
    Bir web sunucu korsaninin saldiri icin yapacagi ilk adim belki de sunucu hakkinda bilgi toplamaktir. Bu nedenle sunucumuzun verdigi bilgiyi minimumda tutmamiz ilk korunma duvarimiz olacaktir. httpd.conf dosyasi icinde:

    ServerSignature off

    yazarsak sunucunun dinamik olarak yarattigi signature/imza satirindan kurtulmus oluruz (Ornegin 404 sayfalarinda)

    Bununla beraber apache HTTP basliginda da bilgi saklar ve gosterir.

    ServerTokens Prod

    satiri bu bilgiyi minimuma indirger. Bazi sunucu sayfalarinda ise sistemin yoneticisinin email adresi gosterilir. (Spamciler icin ideal! :)

    ServerAdmin root@localhost

    satırı bu emaili de saf dışı birakir.
  6. cgi-bin dizinin yok et:
    Eger web sunucunuz CGI calistirmayacaksa derhal gerekli ayarlari yokedin! :) (PHP degil, cgi...) Su satirlari silin ya da comment out edin.
     LoadModule cgi_module modules/mod_cgi.so
     LoadModule env_module modules/mod_env.so
     AddModule mod_cgi.c
     AddModule mod_env.c
     ScriptAlias /cgi-bin/ "/var/www/cgi-bin/"
     <Directory "/var/www/cgi-bin">
        AllowOverride None
        Options None
        Order allow,deny
        Allow from all
     </Directory>
    
  7. Web dizinlerinin sistem izinleri.
    Sistem icinde webe acik dizinlerin ve dosyalarin hicbirisine web serverin calistigi kullaniciya ve guruba (apache, nobody gibi) yazma hakkinin verilmemesi lazimdir. Bu duruma uymayan dizin ve dosyalari bulmak/gormek icin su asagidaki komutlari kullanabilirsiniz. [root@webserver]# find /var/www/html -user apache -perm +202 -exec ls -ld {} ; [root@webserver]# find /var/www/html -group apache -perm +202 -exec ls -ld {} ;
  8. SSL
    Son olarak. Mutlaka gizli bilgilerinizi SSL yoluyla yollayin. Ornegin bir webmail servisi mi kuruyorsunuz? Mutlaka en azindan login kismini SSL ile koruyun. phpMyAdmin mi kullaniyorsunuz? SQL Sunucunuzun guvenligi icin bence SSL arkasinda tutun. Dagitimlarin cogu zaten kurulu ssl sertifikalari ile geliyordur. Eger gelmeyen birisiyle ugrasiyorsaniz kendi sertifikanizi yaratin. Onemli olan o sertifika vasitasiyla iki nokta arasinda sifreleme yapabilmeniz.
Daha fazla bilgi icin bazi adresler:
http://httpd.apache.org/docs/misc/security_tips.html http://www.apacheweek.com/security/
http://www.modsecurity.org/

Görüşler

0
Ansugo
Aslinda guvenlikten ziyade daha performansi artiran seylerden bahsedilmis.

Kisa ve ozdu. Begenerek okudum.
Görüş belirtmek için giriş yapın...

İlgili Yazılar

Kitap Eleştirisi: Süper Hesap Uzmanları

FZ

Makine öğrenmesi konusu ile ilgilendiğim için askere gitmeden önce Ian Ayres'in 'Süper Hesap Uzmanları : Sayılarla Düşünmek Neden Zeki Olmanın Yeni Bir Yoludur' kitabını okumuştum. 2008 yılının Mart ayında Türkçesi yayımlanmış kitabın makine öğrenmesi, veri madenciliği ve genel anlamda istatistiğin gücü ile ilgilenen herkesin okuması gereken türden bir kitap olduğuna inanıyorum. Yani işadamları da bilgisayar yazılımcıları da çözmeye çalıştıkları problemleri daha iyi anlamak ve daha akıllıca çözümler geliştirmek için bu kitaptan feyz alabilirler.

Her ne kadar söz konusu kitap (Freakonomics'in yazarlarıdan) Steven D. Levitt gibi yazarların övgüsüne nail olmuşsa da hem içerik hem de çeviri konusunda bazı eleştirileri hak ediyor. Kitabı okurken not ettiğim bazı noktaları aşağıda listeledim:

Temel C kültürü

gencbeyin

Steve Maguire'in Hatasız Kodlama isimli kitabını elime aldığımdan itibaren ön kapağında Microsoft Press yazıyor olması hiç rahatımı bozmadı. Bana harika bir kitap gibi gözüküyordu ve gerçekten öyle çıktı. C programlamayı çat pat biliyor, bilgilerimi derinleştirmek için bir kaynak arıyordum, ve tam istediğimi bulmuşum. Burda yazılanların çoğunun open source projelerde uygulandığı da gözümden kaçmadı. Kısacası ANSI C hakkında temel kültür kazandıran bir kitap arıyorsanız, Arkadaş Yayınları'ndan Hatasız Kodlama'yı şiddetle tavsiye ederim.

e-Bergi Ekim 2008 Sayısı Çıktı!

anonim

Ekim ayında da, doyurucu içeriği ve ilgi gören programlama sorusu ile e-bergi sizlerle.

Deniz Kenarında Bir Gezinti - Seaside

anonim

"A Walk on the Seaside" kılavuzunun çevirisidir.

Seaside

Bu kılavuz Seaside 2.7 web geliştirme çatısına giriş niteliğindedir. Seaside kurulum bilgileri için bu adresi ziyaret edebilirsiniz.

Eğer Seaside'ı kendiniz kurarsanız (mesela SqueakMap kullanarak), sizden bir kullanıcı adı ve şifre girmeniz istenecektir. Bu bilgiler daha sonra bahsedeceğimiz Seaside yapılandırma uygulaması tarafından kullanılacaklar.

Yazılım Mühendisliğinde Çıkmaz Sokak Tarifleri: Anti-Patterns

FZ

Bilgisayar yazılımları geliştirmekle yıllardır uğraşılmakta. Son yarım yüzyılda ortaya çıkan bu alanda çeşitli paradigmalar (prosedürel, nesne tabanlı, fonksiyonel, vs) ve çeşitli modeller (code reuse, unit testing, component model, extreme programming, design patterns) ortaya atıldı. Daha çok "Özgür Yazılım'' ile birlikte dağıtık geliştirme yöntemleri gündeme geldi. Tasarım, uygulama ve test aşamalarını kapsayan geniş bir açıdan baktığımızda bize önerilen çeşitli "doğru'' geliştirme yöntemleri var.

Diğer her alanda olduğu gibi dengeli ve sağlıklı bir kavrayışa sahip olmak için doğruların yanında "yanlış'' yöntemler hakkında da bilgi sahibi olmak gereklidir. Bu konuda yaşanmış çok tecrübe olmakla birlikte, yazılı olarak birkaç kaynak dışında ciddi bir eksiklik bulunmaktaydı. Bu makale, ağırlıklı olarak yazılım mühendisliği ile ilgili birkaç Internet sitesinden derlenmiş, daha çok özgür yazılım alanını ilgilendiren bu tür çıkmaz yolları tanıtmaktadır. Ortak noktaları:

* Çoğu bir problemi çözmek isterken ortaya çıkar
* İlk bakışta harika bir fikir gibi gözükebilirler
* En çok tasarım aşamasında görülürler
* Sizden çok daha üretken ve başarılı grupları batırmışlardır!

Gürer Özen'in Anti-Patterns çevirisinin devamını burada okuyabilirsiniz.