웹서버 보안

웹서버 보안

1. OS 에 대한 최신 패치 적용  - OS 나 벤더에 대한 사이트에 주기적 방문하여 취약점 정보를 얻고 패치나 업데이트 진행 2. OS 취약점 점검   - 체크 리스트를 통하여 점검하고 히스토리를 하여 관리 3. 웹서버 전용 호스트로 구성  - 최소한의 프로그램만 두고 모두 제거, 시스템 사용의 목적의 계정만 유지하고 불필요한 계정 모두 삭제하고 최소한의 권한만 유지  - 컴파일러, 개발도구, 백업파일, 제거 (침입후 해커가 공격코드를 컴파일 하거나 개인정보 유출 가능성) 4. 콘솔 접근만 가능하도록 최소한의 IP만 접근 허용 5. 웹 서버는 DMZ 에 구성하되 웹서버를 통한 내부 서버 접근이 불가능하도록 구성한다. 6. 파일 접근 권한 (일반계정이 root 권한의 계정을 수정할수 없도록), 패스워드 보안 7. 패치 작업은 네트워크 차단후 진행  8. 웹 프로세스가 서비스에 필요한 최소한의 권한만 갖도록 한다. (root 권한으로 실행 --> 웹 취약점을 통해 root 권한 획득 할 수 있음) nobody 권한으로 동작 필요 9. 로그파일 변조 및 삭제 되지 않도록 관리  10. 웹서버 영역과 OS 영역을 분리 서로 침입하더라도 다른 디렉토리나 자원에 접근 할 수 없도록 관리 11. 심볼링 링크 자제 (웹 문서가 시스템 내부의 파일로 심볼릭 링크, alias 금지) 12. 디렉토리 리스팅 기능 중단 (디렉토리나 파일 목록 보이지 않게) 웹을 통하여 13. 기본 문서 순서 주의 (DirectoryIndex index.php index.html index.html.var) 14. 설치후 샘플, 메뉴얼, 임시파일 제거 (시스템 정보 혹은 버전 정보 노출 가능성) 15. 웹서버 종류, OS, 계정, 이름 관련된 정보 노출 금지 (공격 시도의 정보 유출) 16. 업로드 제한 (용량 제한, 꼭 필요한 파일만 업로드 되도록 하고 업로드 되기전 보안성 검토 필요)  - 업로드된 파일이나 디렉토리 실행권한을 제거해야 한다.  - 업로드 폴더와 웹서비스 폴더를 서로 분리해야 한다.