如何提高Apache2服务器安全性

Apache2 服务器安全加固清单

一 基础与系统层加固

• 保持系统与软件为最新：执行apt update && apt upgrade或yum/dnf update，及时修补漏洞。
• 最小化攻击面：仅启用必要的Apache 模块，禁用不需要的模块（如 autoindex、status 等），命令示例：a2dismod autoindex。
• 隐藏敏感信息：在**/etc/apache2/conf-enabled/security.conf中设置ServerTokens Prod**、ServerSignature Off；如运行 PHP，设置expose_php Off。
• 目录与权限：禁止目录浏览（Options -Indexes），限制上传与请求体大小（如LimitRequestBody），并设置合理的文件权限（如网站目录755、文件644）。
• 访问控制：对管理后台、备份目录等敏感路径使用Require ip 1.2.3.4或Require all denied进行来源限制。
• 防火墙：仅放行必要流量，Ubuntu 使用ufw allow ‘Apache Full’；CentOS/RHEL 使用firewall-cmd --permanent --add-service=http --add-service=https && firewall-cmd --reload。
• 强制 HTTPS：优先使用Let’s Encrypt获取免费证书并自动配置 HTTPS：sudo apt install certbot python3-certbot-apache && sudo certbot --apache -d yourdomain.com。

二 传输层与请求层加固

• 启用并正确配置 SSL/TLS：在VirtualHost *:443中开启SSLEngine on，指定SSLCertificateFile与SSLCertificateKeyFile；如为自签名证书，仅用于测试环境。
• 安全响应头：启用mod_headers并添加关键安全头，示例：
  • X-Content-Type-Options: nosniff
  • X-Frame-Options: SAMEORIGIN
  • X-XSS-Protection: 1; mode=block
  • Referrer-Policy: no-referrer-when-downgrade
  • Content-Security-Policy: default-src ‘self’; script-src ‘self’（按站点实际调整）
• 请求限制：对潜在滥用进行限制，如设置LimitRequestBody控制上传大小，对管理接口设置速率限制/并发限制（结合应用或反向代理实现）。
• 日志与监控：确保访问日志与错误日志开启，设置合适的LogLevel（如warn或alert rewrite:trace3），并定期审计异常请求与错误。

三 模块与防护增强

• Web 应用防火墙：安装并启用ModSecurity（libapache2-mod-security2），将SecRuleEngine设为On或先用DetectionOnly观察，按需集成OWASP CRS规则集，审计日志指向**/var/log/modsec_audit.log**。
• 抗 DoS/暴力：部署mod_evasive缓解DDoS/Slowloris，示例参数：DOSHashTableSize 3097、DOSPageCount 2、DOSSiteCount 50、DOSBlockingPeriod 10（数值需结合业务压测调优）。
• 入侵防护：使用Fail2Ban监控Apache 日志，自动封禁暴力破解来源 IP，降低持续性攻击风险。
• 运行时防护：启用SELinux或AppArmor为 Apache 进程施加最小权限约束，减少被攻陷后的横向移动空间。

四 PHP 与应用配置安全

• 运行身份：以非 root用户/组运行 Apache（如www-data），避免进程被劫持后获取过高权限。
• PHP 安全：在php.ini中关闭expose_php，禁用危险函数（如exec、system、shell_exec），并通过open_basedir限制脚本可访问目录。
• 上传与执行：限制上传大小与类型，禁止在上传目录执行脚本（如php_flag engine off），对敏感区域启用HTTP Basic/Digest认证。
• 通用实践：避免在生产环境开启目录列表与详细错误页，使用强密码与密钥认证，并对管理入口进行来源 IP 白名单控制。

五 运维与验证

• 变更与回滚：修改配置前备份**/etc/apache2与/var/www**，变更后执行apache2ctl configtest校验语法，再systemctl reload apache2；保留回滚方案。
• 持续监控：定期查看**/var/log/apache2/access.log与error.log**，结合Fail2Ban与日志分析工具（如logwatch）建立告警。
• 定期审计：复核启用模块、虚拟主机配置、.htaccess与防火墙规则，移除测试证书与临时规则，保持最小暴露面。
• 备份与演练：定期备份网站与配置，并进行恢复演练与安全事件响应演练，确保真实故障时可快速恢复。