APACHE Güvenliği

Apache sunucusu kurulumla gelen paketle kurulduğunda kullanıcıların işlemlerini kolaylaştırmak için birçok özellik aktif olarak gelmektedir. Sunucu bu şekilde bırakıldığında bazı güvenlik sorunlarına neden olabilmektedir. Aşağıda sizlere alınabilecek bazı güvenlik önlemlerini vereceğim. Bu işlemleri yapmak için apache konfigürasyon dosyası olan httpd.conf dosyasını kullanacaksınız.

•  İlk olarak en son çıkan güncelleştirmeler yüklenmelidir. Bu güncelleştirmeleri www.apache.org adresinden gerçekleştirebilirsiniz.

• Sunucunun varsayılan kurulumu ile Apache sürümü, hangi işletim sistemi kullanıldığı ve hangi modüllerin yüklü olduğu kolaca öğrenilir. Saldırganlar bu bilgileri kullanarak sisteme zarar verebilirler.

Sizler ise bu bilgileri gizlemek için httpd.conf dosyasına aşağıda vereceğim iki satırı eklemelisiniz.
ServerSignature Off
ServerTokens Prod
Şimdi bunları yazdık tabi ama bunlar ne anlama geliyor onlara açıklık getirelim.
ServerSignature direktifi 404 sayfaları, klasör listeleri gibi Apache tarafından yaratılan sayfaların en altında bilgilerin görüntülenmesi ile ilgilidir.
ServerTokens direktifi ise Apache’nin HTTP cevap başlığında Server kısmına ne yazacağını belirler. Bunu Prod’a set ederek HTTP cevabında aşağıdaki şekilde cevap verdirmek mümkündür.
Server: Apache

•  Apache sunucunun, sayfaların bulunduğu klasör haricindeki klasörlerde bulunan dosyalara erişimi engellenebilir. Bu işlem için aşağıdaki satırları httpd.conf dosyasına eklemeniz gerekir.

Order Deny, Allow
Deny from all
Options None
AllowOverride None
Order Allow,Deny
Allow from all

• Tarayıcının adres satırına www.site.com/magazin şeklinde bir adres yazdığımızda verilen haber klasöründe index dosyamız yoksa bu içeriği karşımıza çıkarabilir. Sunucu üzerinde bu özelliği yani klasör içeriğini görüntülemeyi kapatmak için aşağıdaki işlemleri yapmalısınız.

Directory tag’i içerisinde Options’u None veya -Indexes olarak ayarlamalısınız.
Options -Indexes
Şimdilik bukadar yazıyorum daha devam edeceğim. Bir sonraki anlatımımda sizlere SSI kapatma sunucunuzda CGI kullanılmıyorsa yapmanız gerekenler vb konulara yer vereceğim.