3. Безпечна інсталяція і конфігурація web-сервера

Після того, як ОС інстальована і зроблена безпечною, слід інсталювати вибране ПО web-сервера. Перед початком даного процесу слід прочитати документацію виробника і зрозуміти, які опції доступні при інсталяції. Також слід відвідати web-сайт виробника або web-сайт бази даних уязвимостей, такий як ICAT метабаза (http://icat.nist.gov/), для визначення всіх відомих уязвимостей і відповідних patches, які повинні бути інстальовані або конфігуровані як частина процесу установки. Тільки після завершення цих попередніх кроків слід почати інсталяцію. Розглядаються тільки загальні процедури інсталяції і конфігурації.

3.1. Безпечна інсталяція web-сервера

У багатьох аспектах безпечна інсталяція і конфігурація web-сервера аналогічна інсталяції і конфігурації ОС. Основний принцип полягає в тому, щоб інсталювати мінімальну кількість необхідних сервісів web-сервера і виключити всі відомі уразливості за допомогою patches або upgrades. Якщо програма інсталяції встановлює якісь непотрібні програми, сервіси або скрипти, вони повинні бути негайно видалені після завершення процесу. При інсталяції web-сервера повинні бути виконані наступні кроки:

1. Інсталювати ПО сервера на виділений хост;

2. Інсталювати мінімально необхідні сервіси Інтернету;

3. Застосувати всі patches або upgrades для коректування відомих уязвимостей;

4. Створити виділений фізичний диск або логічний розділ (окремий від ОС і сервера) для вмісту web;

5. Видалити або заборонити всі web-сервіси, інстальовані web-сервером, але не потрібні (наприклад, gopher, FTP і віддалене адміністрування);

6. З кореневої директорії web-сервера видалити всі файли, які не є частиною web-сайта;

7. Видалити всю документацію, а також приклади скриптів і виконувані коди;

8. Виконати різного роду зразки безпеки або “hardening” скрипти, що підсилюють безпеку web-сервера;

9. Переконфігурувати банер НТТР-сервіса (і інших сервісів, якщо вони використовуються), щоб він не повідомляв про тип і версію web-сервера і ОС. Це може бути виконано в IIS використанням вільного Microsoft IIS Lockdown Tool і в Apache за допомогою “ServerTokens” директиви.

3.2. Конфігурація управління доступом

Більшість ОС для web-серверів надають можливість вказати конкретні привілеї доступу для файлів, пристроїв і інших обчислювальних ресурсів на даному хості. Слід розуміти, що будь-яка інформація, до якої може бути здійснений доступ з каталогів, що належать web-серверу потенційно може стати доступною всім користувачам, що мають доступ до публічного web-сайту. Зазвичай ПО web-сервера забезпечує додаткове управління доступом до файлів, пристроїв і ресурсів. У випадку якщо дозволи доступу до ресурсів можуть бути встановлені як на рівні ОС, так і на рівні web-сервера, важливо, щоб вони були ідентичні один одному, інакше можлива ситуація, коли користувачам наданий або дуже великий, або дуже маленький доступ. Web-адміністратори повинні розглянути, яка конфігурація доступу до інформації, що зберігається в публічному web-сервері, є якнайкращою з наступних точок зору:

• обмеження доступу ПО web-сервера до підмножини обчислювальних ресурсів засобами управління доступом ОС;

• обмеження доступу користувачів за допомогою додаткового управління доступом, забезпечуваним web-сервером, коли потрібні детальніші рівні управління доступом.

Відповідна установка управління доступом може допомогти запобігти розкриттю чутливої інформації, яка не призначена для публічного розповсюдження. Додаткове управління доступом може бути використано для обмеження використання ресурсів у разі DoS-атаки на публічний web-сайт.

Зазвичай файлами, доступ до яких повинен контролюватися, є наступні:

• ПО і конфігураційні файли програми;

• Файли, що безпосередньо використовуються механізмами безпеки:

  • файли хешей паролів і інші файли, використовувані при аутентифікації;

  • файли, які містять авторизаційну інформацію, використовувану при управлінні доступом;

  • криптографічний матеріал ключа, використовуваний в сервісах конфіденційності, цілісності і неможливості відмови.

• Логи сервера і файли системного аудиту;

• Системне ПО і його конфігураційні файли.