如何在CentOS上配置Apache安全防護

在CentOS上配置Apache安全防護涉及多個步驟，以下是一個基本的指南：

1. 更新系統和軟件包

首先，確保你的CentOS系統已經更新到最新版本，然后安裝Apache2和其他必要的模塊：

sudo yum update -y
sudo yum install httpd mod_ssl openssl -y

2. 禁用不必要的模塊

編輯Apache的配置文件（通常位于 /etc/httpd/conf/httpd.conf），禁用不需要的模塊以減少潛在的安全風險。例如，禁用 mod_ssl 和 mod_rewrite 模塊：

<IfModule mod_ssl.c>
    LoadModule ssl_module modules/mod_ssl.so
</IfModule>

<IfModule mod_rewrite.c>
    RewriteEngine Off
</IfModule>

3. 配置SSL/TLS加密

為了提高網站的安全性，可以為Apache啟用SSL加密。首先，生成SSL證書和私鑰，可以使用OpenSSL工具：

sudo openssl req -nodes -new -x509 -keyout /etc/ssl/private/apache-selfsigned.key -out /etc/ssl/certs/apache-selfsigned.crt

然后在Apache配置文件中啟用SSL模塊，并配置虛擬主機使用HTTPS：

<VirtualHost *:443>
    ServerAdmin webmaster@localhost
    ServerName www.mywebsite.com
    DocumentRoot /var/www/mywebsite
    SSLEngine on
    SSLCertificateFile /etc/ssl/certs/apache-selfsigned.crt
    SSLCertificateKeyFile /etc/ssl/private/apache-selfsigned.key
    ErrorLog ${APACHE_LOG_DIR}/mywebsite_error.log
    CustomLog ${APACHE_LOG_DIR}/mywebsite_access.log combined
</VirtualHost>

重啟Apache服務以使配置生效：

sudo systemctl restart httpd

4. 配置防火墻規則

使用 firewalld 管理防火墻，允許HTTP（端口80）和HTTPS（端口443）流量：

sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

5. 設置文件和目錄權限

嚴格限制文件和目錄的權限，確保只有必要的用戶和進程可以訪問。例如，將Apache用戶設置為文件所有者，并賦予必要的權限：

sudo chown -R apache:apache /var/www/html
sudo chmod -R 755 /var/www/html

6. 隱藏版本信息

修改Apache配置文件，屏蔽版本信息，以防止攻擊者利用已知漏洞：

ServerTokens Prod
ServerSignature Off

7. 啟用.htaccess文件保護

設置網頁密碼、錯誤文件、禁止列目錄等，以增強安全性：

<Directory "/var/www/html">
    AllowOverride All
    Require all granted
</Directory>

8. 定期更新和升級

定期更新和升級Apache服務器及其相關組件，以確保其始終保持最新狀態，防止攻擊者利用已知漏洞進行攻擊：

sudo yum update httpd

9. 配置虛擬主機

如果計劃托管多個網站或域名，可以配置Apache虛擬主機。創建新的虛擬主機配置文件，例如在 /etc/httpd/conf.d/ 目錄下創建 mywebsite.conf 文件，并添加相應的配置。

10. 使用SELinux

如果系統支持SELinux，可以進一步配置SELinux來限制Apache的訪問權限。

sudo setenforce 1

11. 啟用mod_security

安裝并配置 mod_security 以增強安全性：

<IfModule mod_security2.c>
    SecRuleEngine On
    IncludeOptional /etc/modsecurity/main.conf
    IncludeOptional /etc/modsecurity/activated_rules/*.conf
</IfModule>