Apache2安全设置指南

以下是Apache2安全设置指南，涵盖关键安全措施：

1. 系统与软件更新
   定期更新系统和Apache2软件包，安装安全补丁：

   sudo apt update && sudo apt upgrade  # Ubuntu/Debian  
   sudo yum update -y && sudo yum install httpd  # CentOS  
   

2. 最小权限运行

   • 创建专用用户和组（如www-data），以非root身份运行Apache：

     sudo groupadd www-data  
     sudo useradd -g www-data www-data  
     sudo chown -R www-data:www-data /var/www/html  
     sudo chmod -R 755 /var/www/html  
     

   • 修改配置文件（如/etc/apache2/envvars）指定用户和组：

     export APACHE_RUN_USER=www-data  
     export APACHE_RUN_GROUP=www-data  
     

3. 禁用不必要的模块
   禁用非必需模块（如autoindex、rewrite等）以减少攻击面：

   sudo a2dismod autoindex rewrite  # Ubuntu/Debian  
   

4. 配置防火墙
   使用ufw或firewalld允许HTTP（80）和HTTPS（443）流量：

   sudo ufw allow 'Apache Full'  # Ubuntu/Debian  
   sudo firewall-cmd --permanent --add-service=http --add-service=https  # CentOS  
   sudo firewall-cmd --reload  
   

5. 启用SSL/TLS加密

   • 安装SSL模块并配置证书：

     sudo a2enmod ssl  
     sudo openssl req -x509 -newkey rsa:2048 -keyout /etc/apache2/ssl/apache.key -out /etc/apache2/ssl/apache.crt -days 365  
     

   • 在虚拟主机中启用SSL：

     <VirtualHost *:443>  
       SSLEngine on  
       SSLCertificateFile /etc/apache2/ssl/apache.crt  
       SSLCertificateKeyFile /etc/apache2/ssl/apache.key  
     </VirtualHost>  
     

6. 隐藏版本信息
   修改配置文件隐藏Apache版本和签名：

   ServerTokens Prod  
   ServerSignature Off  
   

7. 目录权限与访问控制

   • 禁止目录列表：

     <Directory /var/www/html>  
       Options -Indexes +FollowSymLinks  
       AllowOverride None  
       Require all granted  
     </Directory>  
     

   • 通过.htaccess限制特定路径访问（如密码保护）：

     AuthType Basic  
     AuthName "Restricted"  
     AuthUserFile /etc/apache2/.htpasswd  
     Require valid-user  
     

8. 启用安全模块

   • mod_security：启用Web应用防火墙（WAF）规则：

     sudo a2enmod security2  
     

   • mod_headers：添加安全HTTP头（如X-Frame-Options、X-XSS-Protection）：

     <IfModule mod_headers.c>  
       Header set X-Frame-Options "SAMEORIGIN"  
       Header set X-XSS-Protection "1; mode=block"  
     </IfModule>  
     

9. 日志与监控

   • 确保错误日志和访问日志启用并定期检查：

     ErrorLog ${APACHE_LOG_DIR}/error.log  
     CustomLog ${APACHE_LOG_DIR}/access.log combined  
     

   • 使用工具（如Fail2Ban）监控暴力破解尝试：

     sudo apt install fail2ban  
     sudo systemctl enable fail2ban  
     

10. 定期备份
    备份配置文件和网站数据：

    sudo tar -czvf /backup/apache2-backup.tar.gz /etc/apache2 /var/www/html  
    

注：配置后需重启Apache服务使更改生效：

sudo systemctl restart apache2  # Ubuntu/Debian  
sudo systemctl restart httpd    # CentOS  

以上措施可显著提升Apache2安全性，需根据实际环境调整。