中国移动Apache安全配置规范.docx
- 文档编号:4178337
- 上传时间:2022-11-28
- 格式:DOCX
- 页数:12
- 大小:18.93KB
中国移动Apache安全配置规范.docx
《中国移动Apache安全配置规范.docx》由会员分享,可在线阅读,更多相关《中国移动Apache安全配置规范.docx(12页珍藏版)》请在冰豆网上搜索。
中国移动Apache安全配置规范
中国移动通信CHINAMOBILE
中国移动公司--
Apache安全配置规范
SpecificationforApache
ConfigurationinChinaMobile
版本号:
1.0.0
XXXX-XX-XX发布
XXXX-XX-XX实施
中国移动通信有限公司网络部
1.范围1
2.规范性引用文件1
2.1.内部引用1
22外部引用2
3.术语、定义和缩略语2
4.TomcatWeb服务器安全配置要求2
4.1.账号管理及认证授权要求3
4.1.1.账号安全要求3
4.1.2.口令安全要求3
4.1.3.授权安全要求3
4.2.日志安全要求3
4.3.IP协议安全要求4
4.4.设备其他安全要求4
5.编制历史7
刖言
为了贯彻安全三同步的要求,在设备选型、入网测试、工程验收以及运行维护等环节,明确并落实安全功能和配置要求。
有限公司组织部分省公司编制了中国移动设备安全功能和配置系列规范。
本系列规范可作为编制设备技术规范、设备入网测试规范,工程验收手册,局数据模板等文档的依据。
本规范是该系列规范之一,明确了中国移动各类型设备所需满足的通用安全功能和配置要求,并作
为本系列其他规范的编制基础。
本标准起草单位:
中国移动通信集团公司网络部、中国移动通信集团山东有限公司网络部。
本标准解释单位:
同提出单位。
本标准主要起草人:
王自亮、周智、曹一生、陈敏时。
1.范围
本规范适用于中国移动通信网、业务系统和支撑系统的Apache服务器。
本规范明确了
Apache服务器安全配置方面的基本要求。
2.规范性引用文件
2.1.内部引用
本规范是在《中国移动设备通用设备安全功能和配置规范》(以下简称《通用规范》)各项设备配置要求的基础上,提出的Apache安全配置规范。
以下分项列出本规范对《通用规
范》设备配置要求的修订情况。
设备通用安全配置要求编号
米纳意见
补充说明
安全要求-设备-通用-配置-1
完全采纳
参见安全要求-设备-通用-Apache-配置-1
安全要求-设备-通用-配置-2
不采纳
不适用
安全要求-设备-通用-配置-3
不采纳
不适用
安全要求-设备-通用-配置-4
不采纳
不适用
安全要求-设备-通用-配置-5
不采纳
不适用
安全要求-设备-通用-配置-29-可选
不采纳
不适用
安全要求-设备-通用-配置-6-可选
不采纳
不适用
安全要求-设备-通用-配置-7-可选
不采纳
不适用
安全要求-设备-通用-配置-9
不采纳
不适用
安全要求-设备-通用-配置-12
不采纳
不适用
安全要求-设备-通用-配置-13-可选
不采纳
不适用
安全要求-设备-通用-配置-24-可选
采纳
参见“安全要求-设备-通用-Apache-配置-2-可选”
安全要求-设备-通用-配置-14
不采纳
不适用
安全要求-设备-通用-配置-28
不采纳
不适用
安全要求-设备-通用-配置-16
不采纳
不适用
安全要求-设备-通用-配置-17-可选
不米纳
不适用
安全要求-设备-通用-配置-19
不采纳
不适用
安全要求-设备-通用-配置-20-可选
不采纳
不适用
安全要求-设备-通用-配置-27
不采纳
不适用
本规范新增的安全配置要求,如下:
安全要求-设备-通用-Apache-配置-3
安全要求-设备-通用-Apache-配置-4-可选
安全要求-设备-通用-Apache-配置-4-可选
安全要求-设备-通用-Apache-配置-5-可选
安全要求-设备-通用-Apache-配置-6-可选
安全要求-设备-通用-Apache-配置-7-可选
安全要求-设备-通用-Apache-配置-8-可选
安全要求-设备-通用-Apache-配置-9-可选
安全要求-设备-通用-Apache-配置-10-可选
本规范还针对《通用规范》中所列的配置要求,给出了在Apache上的具体配置方法和检测
方法。
22外部引用
《中国移动设备通用安全功能和配置规范》
3.术语、定义和缩略语
4.Apache服务器安全配置要求
本规范提出的安全功能要求和安全配置要求,在未特别说明的情况下,均适用于设备上
运行的Apache软件。
本规范从账号管理及认证授权、日志以及IP协议和其他四个方面提出安全功能和配置要求。
本规范所指的设备为Apache设备。
本规范提出的安全配置要求,在未特别说明的情况下,
均适用于2.0.x、2.2.x版本的Apache服务器。
4.1.账号管理及认证授权要求
认证功能用于确认登录系统的用户真实身份。
认证功能的具体实现方式包括静态口令、动态口令、指纹等生物鉴别技术等。
授权功能赋予系统账号的操作权限,并限制用户进行超
越其账号权限的操作。
账号口令管理功能是实现正确认证和授权的基础。
对于存在字符或图形界面(WE界面)的人机交互的设备,应提供账号管理及认证授权功能,并应满足以下各项要求。
4.1.1.账号安全要求
编号:
安全要求-设备-通用-Apache-配置-1
要求内容
以专门的用户帐号和组运行Apache。
操作指南
1、根据需要为Apache创建用户、组
2、参考配置操作
修改httpd.conf配置文件,添加如下语句:
Userapache
Groupapachegroup
其中apacheapachegroup分别是为Apache创建的用户和组。
2、补充操作说明
1、根据不同用户,取不同的名称。
2、为用户设置适当的家目录和shell。
检测方法
1、判定条件
2、检测操作
检杳httpd.conf配置文件.检杳用户配置文件。
4.1.2.口令安全要求
4.1.3.授权安全要求
4.2.日志安全要求
编号:
安全要求-设备-通用-Apache-配置-2-可选
要求内容
设备应配置日志功能,对运行错误、用户访问等进行记录,记录内容包括时间,用户使用的IP地址等内容。
操作指南
1、参考配置操作
编辑httpd.conf配置文件,设置日志记录文件、记录内容、记录格式。
LogLevelnotice
ErrorLoglogs/error_log
LogFormat"%h%l%u%t\"%r\"%>s%b\"%{Accept}i\"
\"%{Referer}i\"\"%{User-Agent}i\""combined
CustomLoglogs/access_logcombined
ErrorLog指令设置错误日志文件名和位置。
错误日志是最重要的日
志文件,Apachehttpd将在这个文件中存放诊断信息和处理请求中出现的错误。
右要将错误日志送到Syslog,则设置:
ErrorLog
syslog。
CustomLog指令设置访冋日志的文件名和位置。
访冋日志中会记录
服务器所处理的所有请求。
LogFormat设置日志格式。
LogLevel用于调整记录在错误日志中的信息的详细程度,建议设置为notice。
检测方法
1、判定条件
查看logs目录中相关日志文件内容,记录完整。
2、检测操作查看相关日志记录。
3、补充说明
43IP协议安全要求
44设备其他安全要求
编号:
安全要求-设备-通用-Apache-配置-3
要求内容
禁止Apache访冋Web目录之外的任何文件。
操作指南
1、参考配置操作
编辑httpd.conf配置文件,(Directory/>
OrderDeny,Allow
Denyfromall
2、补充操作说明设置可访问目录,
OrderAllow,Deny
Allowfromall
其中/web为网站根目录。
检测方法
1、判定条件
无法访问Web目录之外的文件。
2、检测操作
访问服务器上不属于Web目录的一个文件,结果应无法显示。
3、补充说明
编号:
安全要求-设备-通用-Apache-配置-4-可选
要求内容
限制http请求的消息主体的大小。
操作指南
1、参考配置操作
编辑httpd.conf配置文件,修改为102400Byte
LimitRequestBody102400
2、补充操作说明
检测方法
1、判定条件检查配置文件设置。
2、检测操作
上传文件超过100K将报错。
3、补充说明
编号:
安全要求-设备-通用-Apache-配置-5-可选
要求内容
更改Apache服务器默认端口
操作指南
1、参考配置操作
(1)修改httpd.conf配置文件,更改默认端口到8080
Listenx.x.x.x:
8080
(2)重启Apache服务
2、补充操作说明
检测方法
1、判定条件
使用8080端口登陆页面成功
2、检测操作
登陆http:
//ip:
8080
3、补充说明
编号:
安全要求-设备-通用-Apache-配置-6-可选
要求内容
Apache错误页面重疋向
操作指南
1、参考配置操作
(1)修改httpd.conf配置文件:
ErrorDocument400/custom400.html
ErrorDocument401/custom401.html
ErrorDocument403/custom403.html
ErrorDocument404/custom404.html
ErrorDocument405/custom405.html
ErrorDocument500/custom500.htmlCustomxxx.html为要设置的错误页面。
⑵重新启动Apache服务
检测方法
1、判定条件
指向指定错误页面
2、检测操作
URL地址栏中输入http:
//ip/xxxxxxx(一个不存在的页面)
编号:
安全要求-设备-通用-Apache-配置-7-可选
要求内容
禁止Apache列表显示文件
操作指南
1、参考配置操作
(1)编辑httpd.conf配置文件,
(Directory"/web">
OptionsFollowSymLinks
AllowOverrideNone
Orderallow,deny
Allowfromall
将OptionsIndexesFollowSymLinks中的Indexes去掉,就可以禁止
Apache显示该目录结构。
Indexes的作用就是当该目录下没有
index.html文件时,就显示目录结构。
(2)设置Apache的默认页面,编辑%apache%\conf\httpd.conf配置文件,
vlfModuledir_module>
Directoryindexindex.html
其中index.html即为默认页面,可根据情况改为其它文件。
(3)重新启动Apache服务
检测方法
1、判定条件
当WEB目录中没有默认首页如index.html文件时,不会列出目录
内容
2、检测操作
直接访问http:
//ip:
8800/xxx(xxx为某一目录)
编号:
安全要求-设备-通用-Apache-配置-8-可选
要求内容
拒绝服务防范。
操作指南
1、参考配置操作
(1)编辑httpd.conf配置文件,Timeout10KeepAliveOnKeepAliveTimeout15AcceptFilterhttpdataAcceptFilterhttpsdata
(2)重新启动Apache服务
检测方法
1、判定条件
2、检测操作
检查配置文件是否设置。
编号:
安全要求-设备-通用-Apache-配置-9-可选
要求内容
删除缺省安装的无用文件。
操作指南
1、参考配置操作
删除缺省HTML文件:
#rm-rf/usr/local/apache2/htdocs/*
删除缺省的CGI脚本:
#rm-rf/usr/local/apache2/cgi-bin/*删除Apache说明文件:
#rm-rf/usr/local/apache2/manual
删除源代码文件:
#rm-rf/path/to/httpd-2.2.4*
根据安装步骤不冋和版本不冋,某些目录或文件可能不存在或位置
不同。
检测方法
1、判定条件
2、检测操作检杳对应目录。
编号:
安全要求-设备-通用-Apache-配置-10-可选
要求内容
隐藏Apache的版本号及其它敏感信息。
操作指南
1、参考配置操作
修改httpd.conf配置文件:
ServerSignatureOffServerTokensProd
检测方法
1、判定条件
2、检测操作检查配置文件。
5.编制历史
版本号
更新时间
主要内容或重大修改
1.0.0
2008-10
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 中国移动 Apache 安全 配置 规范