PHẦN I – TỔNG QUAN VỀ WEBSERVER 1.1CÁC KHÁI NIỆM LIÊN QUAN ĐẾN WEBSERVER Web server có nghĩa là máy chủ web, là máy tính lớn được kết nối với tập hợp mạng máy tính mở rộng. Máy chủ chứa toàn bộ dữ liệu mà nó được giao quyền quản lý. Mỗi máy chủ có một IP riêng và có thể đọc đa dạng ngôn ngữ như HTML, HTM, File,… Máy chủ có dung lượng lớn và tốc độ rất cao để có thể lưu trữ và vận hành tốt kho dữ liệu trên internet. Thông qua cổng giao tiếp riêng biệt của mỗi máy chủ mà hệ thống máy tính có khả năng hoạt động trơn tru hơn. Máy chủ phải đảm bảo hoạt động liên tục để có thể cung cấp dữ liệu cho mạng lưới máy tính của nó. Web server có thể là phần cứng hoặc phần mềm cũng có thể bao gồm cả hai: •Phần cứng: Máy chủ web là một máy tính lưu trữ các file ảnh, tài liệu HTML, CSS, file JavaScript của một website và chuyển chúng tới thiết bị của End-user. Máy chủ được kết nối internet và truy cập thông qua một tên miền như Mozilla.org. •Phần mềm: Web server gồm một số phần điều khiển người dùng truy cập đến file lưu trữ trên một máy chủ HTTP. Máy chủ HTTP là một phần mềm, nó có khả năng hiểu được các địa chỉ website (URL) và giao thức trình duyệt sử dụng để xem các website (HTTP). Bất cứ khi nào một trình duyệt cần đến file được lưu trữ trên máy chủ, trình duyệt gửi yêu cầu file đó thông qua HTTP. Khi yêu cầu tới đúng máy chủ (phần cứng), HTTP (phần mềm) sẽ gửi tài liệu được yêu cầu trở lại thông qua HTTP. 1.2CÁC BƯỚC LẤY DỮ LIỆU CỦA MỘT WEBSITE Bước 1: Web server lưu trữ các file của website – Hosting file Web server lưu trữ các file của website (bao gồm các tài liệu HTML, ảnh file CSS, fonts, video, file JavaScript). Người dùng hoàn toàn có thể lưu trữ chúng trên máy tính của mình nhưng khi lưu trên máy chủ web sẽ có những lợi ích sau: •Luôn sẵn sàng – up and running •Luôn kết nối tới mạng internet •Địa chỉ IP cố định •Được bảo dưỡng và bảo vệ bởi nhà cung cấp Bước 2: Giao tiếp qua HTTP Web server sẽ hỗ trợ giao thức truyền phát siêu văn bản – HTTP. HTTP là tập hợp các quy tắc kết nối giữa hai máy tính bao gồm Textual và Stateless. •Textual: Mọi lệnh đều là văn bản thuần túy và người dùng có thể đọc được nó. •Stateless: Khi cả người dùng và máy chủ không nhớ kết nối trước đó. HTTP có quy tắc rõ ràng về giao tiếp giữa client và server như sau: •Duy nhất client có thể tạo ra yêu cầu HTTP đến server. Các server chỉ có thể đáp trả yêu cầu HTTP của client. •Client phải cung cấp URL của file khi yêu cầu file đó thông qua HTTP. •Tất cả yêu cầu HTTP sẽ được web server trả lời. HTTP có trách nhiệm xử lý và trả lời các yêu cầu đến qua các bước: •Khi nhận được một yêu cầu, HTTP sẽ kiểm tra URL được yêu cầu có khớp với file hiện có không? •Nếu trùng khớp, máy chủ web sẽ gửi nội dung file trả lại trình duyệt. Trường hợp không trùng khớp, một Application server sẽ tạo ra file được yêu cầu. •Web server sẽ gửi trả lại một thông điệp lỗi cho trình duyệt (phổ biến nhất là 404 Not Found) nếu nó không thể xử lý được. 1.3CÁC LOẠI WEB SERVER PHỔ BIẾN HIỆN NAY •Web server Apache •Web server IIS •Web server Nginx •Web server LiteSpeed
HỌC VIỆN KỸ THUẬT MẬT MÃ KHOA AN TỒN THƠNG TIN ĐỀ TÀI AN TOÀN CHO DỊCH VỤ WEB APACHE Giảng viên hướng dẫn: Nhóm sinh viên thực hiện: Chu Văn Quân – AT1407xx Ngô Nguyễn Anh Đức – AT140xx Nguyễn Minh Hoàng – AT1407xx Nguyễn Đức Nhân – AT1407xx Nguyễn Tiến Tùng - AT1407xx Hà Nội, 08/2020 Đề tài: AN TOÀN CHO DỊCH VỤ WEB APACHE Nhận xét cán bộ hướng dẫn: Điểm chuyên cần: Điểm báo cáo: Xác nhận của cán hướng dẫn MỤC LỤC DANH MỤC HÌNH ẢNH LỜI MỞ ĐẦU Hiện nay, lĩnh vực cơng nghệ ngày phát triển nhanh chóng Các c̣c công mạng, công từ hacker, các nguy gây an tồn thơng tin xảy với tần xuất nhiều hơn, mức độ nghiêm trọng cao Bên cạnh thời đại phát triển mạnh công nghệ Internet nay, các vấn đề thuộc an ninh mạng như: công, thâm nhập đánh cắp liệu website hệ thống máy chủ làm lên mối quan tâm, lo ngại từ phía người quản trị Để ngăn chặn điều xảy người quản trị cần có phương pháp thích hợp để bảo vệ máy máy tính Vấn đề an tồn thơng tin lại trở lên cấp thiết đóng vai trị quan trọng Trong quá trình xây dựng website, điều thiết yếu phải bảo mật website bạn trước hiểm họa internet Việc xây dựng bảo mật Web Server có vai trị quan trọng trọng vấn đề Vậy làm để giúp người quản trị thực điều Để trả lời cho câu hỏi, tiểu luận nhóm tiến hành “Tìm hiểu An tồn cho dịch vụ web Apache” để đưa câu trả lời cụ thể giúp bảo vệ thơng tin mợt cách an tồn hiệu Mặc dù cố gắng, dày công nghiên cứu xong quá trình làm khơng thể tránh khỏi sai xót, mong nhận góp ý đóng góp quý thầy cô các bạn! PHẦN I – TỔNG QUAN VỀ WEBSERVER 1.1 CÁC KHÁI NIỆM LIÊN QUAN ĐẾN WEBSERVER Web server có nghĩa máy chủ web, máy tính lớn kết nối với tập hợp mạng máy tính mở rợng Máy chủ chứa tồn bợ liệu mà giao quyền quản lý Mỗi máy chủ có mợt IP riêng đọc đa dạng ngôn ngữ HTML, HTM, File,… Máy chủ có dung lượng lớn tốc đợ cao để lưu trữ vận hành tốt kho liệu internet Thông qua cổng giao tiếp riêng biệt máy chủ mà hệ thống máy tính có khả hoạt động trơn tru Máy chủ phải đảm bảo hoạt đợng liên tục để cung cấp liệu cho mạng lưới máy tính Web server phần cứng phần mềm bao gồm hai: • • Phần cứng: Máy chủ web mợt máy tính lưu trữ các file ảnh, tài liệu HTML, CSS, file JavaScript một website chuyển chúng tới thiết bị Enduser Máy chủ kết nối internet truy cập thông qua một tên miền Mozilla.org Phần mềm: Web server gồm một số phần điều khiển người dùng truy cập đến file lưu trữ một máy chủ HTTP Máy chủ HTTP mợt phần mềm, có khả hiểu các địa website (URL) giao thức trình duyệt sử dụng để xem các website (HTTP) Bất mợt trình duyệt cần đến file lưu trữ máy chủ, trình duyệt gửi yêu cầu file thơng qua HTTP Khi u cầu tới máy chủ (phần cứng), HTTP (phần mềm) gửi tài liệu yêu cầu trở lại thông qua HTTP 1.2 CÁC BƯỚC LẤY DỮ LIỆU CỦA MỘT WEBSITE Bước 1: Web server lưu trữ file website – Hosting file Web server lưu trữ các file website (bao gồm các tài liệu HTML, ảnh file CSS, fonts, video, file JavaScript) Người dùng hồn tồn lưu trữ chúng máy tính lưu máy chủ web có lợi ích sau: • • • • Luôn sẵn sàng – up and running Luôn kết nối tới mạng internet Địa IP cố định Được bảo dưỡng bảo vệ nhà cung cấp Bước 2: Giao tiếp qua HTTP Web server hỗ trợ giao thức truyền phát siêu văn – HTTP HTTP tập hợp các quy tắc kết nối hai máy tính bao gồm Textual Stateless • • Textual: Mọi lệnh văn thuần túy người dùng đọc Stateless: Khi người dùng máy chủ không nhớ kết nối trước HTTP có quy tắc rõ ràng giao tiếp client server sau: • • • Duy client tạo yêu cầu HTTP đến server Các server đáp trả yêu cầu HTTP client Client phải cung cấp URL file u cầu file thơng qua HTTP Tất yêu cầu HTTP web server trả lời HTTP có trách nhiệm xử lý trả lời các yêu cầu đến qua các bước: • • • 1.3 Khi nhận một yêu cầu, HTTP kiểm tra URL yêu cầu có khớp với file có không? Nếu trùng khớp, máy chủ web gửi nội dung file trả lại trình duyệt Trường hợp khơng trùng khớp, một Application server tạo file yêu cầu Web server gửi trả lại một thông điệp lỗi cho trình duyệt (phổ biến 404 Not Found) khơng thể xử lý CÁC LOẠI WEB SERVER PHỔ BIẾN HIỆN NAY • Web server Apache • Web server IIS • Web server Nginx • Web server LiteSpeed PHẦN II – TÌM HIỂU VỀ WEB SERVER APACHE 2.1 TỔNG QUAN VỀ WEBSERVER APACHE Mặc dù gọi Apache web server, lại khơng phải server vật lý, mợt phần mềm chạy server Cơng việc thiết lập kết nối server trình duyệt người dùng (Firefox, Google Chrome, Safari, ) chuyển file tới chúng (cấu trúc chiều dạng client-server) Apache mợt phần mềm đa tảng, hoạt đợng tốt với server Unix Windows Khi một khách truy cập tải mợt trang web website, ví dụ, trang chủ “About Us”,trình duyệt người dùng gửi yêu cầu tải trang web lên server Apache trả kết với tất đầy đủ các file cấu thành nên trang About Us (hình ảnh, chữ, …) Server client giao tiếp với qua giao thức HTTP Apache chịu trách nhiệm cho việc đảm bảo tiến trình diễn mượt mà bảo mật máy Apache mợt tảng module có độ tùy biến cao Moduels cho phép quản trị server tắt thêm chức Apache có modules cho bảo mật caching, URL rewriting, chứng thực mật khẩu,… 2.2 ƯU ĐIỂM VÀ KHUYẾT ĐIỂM CỦA APACHE Apache web server lựa chọn ưu việt để vận hành một website ổn định tùy chỉnh linh hoạt Tuy nhiên, có mợt số điểm bất lợi mà bạn nên biết Ưu điểm: • Phần mềm mã nguồn mở miễn phí, kể cho mục đích thương mại • Phần mềm đáng tin cậy, ổn định • Được cập nhật thường xuyên, nhiều vá lỗi bảo mật liên tục • Linh hoạt có cấu trúc module • Dễ cấu hình, thân thiện với người bắt đầu • Đa tảng (hoạt đợng với server Unix Windows) • Hoạt đợng hiệu với WordPress Sites • Có cợng đồng lớn sẵn sàng hỗ trợ với vấn đề • Hỗ trợ PHP, Perl, SSL, … Nhược điểm: • Gặp vấn đề hiệu website có lượng truy cập cực lớn • Quá nhiều lựa chọn thiết lập gây các điểm yếu bảo mật PHẦN III – VẤN ĐỀ AN TOÀN TRONG APACHE 3.1 SỰ CẦN THIẾT CỦA VIỆC ĐỀ RA CÁC CHÍNH SÁCH AN TỒN Trong thời đại phát triển mạnh cơng nghệ Internet nay, các vấn đề thuộc an ninh mạng như: công, thâm nhập đánh cắp liệu website hệ thống máy chủ ngày gia tăng có xu ngày nhiều hơn, trước lo ngại hệ thống webserver Apache cịn yếu kém, có nhiều lỗ hổng hệ thống, người điều hành nên có phương pháp thích hợp để bảo vệ máy chủ trước hiểm họa nêu Các webserver vùng đất màu mỡ cho các hacker tìm kiếm các thơng tin giá trị hay gây rối mợt mục đích xấu Hiểm họa phương thức từ kiểu cơng từ chối dịch vụ, quảng cáo các website có nợi dung đợc hại, xóa, thay đổi nợi dung các file hay phần mềm chưa mã nguy hiểm, hay tiêm nhiễm các đoạn mã độc để đánh cắp thông tin người dùng theo thời gian 3.2 HIỆN THỰC CÁC LỖ HỔNG ĐÃ BỊ TẤN CÔNG Mới đây, Apache phát hành vá cho các lỗ hổng phần mềm máy chủ web hãng Những lỗ hổng dẫn đến các cuộc công thực thi mã tùy ý Thậm chí, mợt số trường hợp cịn cho phép kẻ cơng đánh sập hệ thống thực công từ chối dịch vụ Ba lỗ hổng có định danh CVE-2020-9490, CVE-2020-11984, CVE-2020-11993, phát chuyên gia bảo mật Felix Wilhelm tḥc Google Project Zero Apache sau nhanh chóng phát hành một cập nhật (2.4.46) để khắc phục các lỗ hổng Lỗ hổng CVE-2020-11984 dẫn đến thực thi mã từ xa vấn đề tràn bợ đệm mơ-đun "mod_uwsgi", có khả cho phép kẻ cơng xem, thay đổi xóa liệu nhạy cảm tùy thuộc vào các đặc quyền liên quan với một ứng dụng chạy máy chủ Lỗ hổng CVE-2020-11993 xảy kích hoạt tính gỡ lỗi mô-đun "mod_http2", khiến báo cáo ghi nhật ký thực kết nối sai dẫn đến lỗi bợ nhớ Lỗ hổng cịn lại đánh giá nghiêm trọng nhất, tồn môđun HTTP/2 Tin tặc khai thác lỗ hổng cách sử dụng tiêu đề 'Cache-Digest' thiết kế đặc biệt để gây hỏng bộ nhớ dẫn đến lỗi từ chối dịch vụ Mặc dù, chưa có báo cáo cho thấy lỗ hổng bị khai thác thực tế Tuy nhiên, các vá bảo mật cần nhanh chóng áp dụng cho các hệ thống bị ảnh hưởng, sau hồn tất việc kiểm tra tính tương thích, đảm bảo ứng dụng định cấu hình với các đặc quyền cần thiết để giảm thiểu tối đa các tác đợng lỗ hổng (Trích [1]) PHẦN IV – CÁC CHÍNH SÁCH AN TỒN CHO DỊCH VỤ WEB APACHE 4.1 BẢO VỆ AN TOÀN TỪ PHẦN CỨNG (BIOS) Khi khởi đợng hệ thống máy tính, thành phần đầu tiên chạy BIOS Để đảm bảo an toàn cho hệ thống, nên tắt chế độ boot từ các thiết bị ổ đĩa CD/DVD Các thiết bị ngoại vi, đĩa mềm… cấu hình BIOS Sau cần tạo mật cho BIOS nhằm hạn chế các truy cập trái phép từ hệ thống 4.2 PHÂN VÙNG Ổ CỨNG Mợt cách thức để đảm bảo an toàn liệu trước rủi ro nên phân vùng ổ cứng cho hệ thống Bằng cách tạo các phân vùng khác nhau, liệu chia nhỏ nhóm lại Khi có cố xảy mợt phân vùng đó, có liệu phân vùng bị hỏng các phân vùng khác liệu an tồn 4.3 SAO LƯU DỮ LIỆU ĐỊNH KỲ • Mục đích của lưu: tạo mợt liệu khác phục hồi trường hợp xảy với với nguyên nhân Lỗi liệu kết lỗi phần cứng phần mềm, hỏng người gây ra, chẳng hạn virus cơng (vi-rút phần mềm đợc hại) xóa nhầm liệu ngẫu nhiên Bản lưu cho phép liệu khơi phục từ thời điểm trước để giúp người quản trị khôi phục từ việc bất khả kháng • Lưu trữ của liệu một thiết bị riêng biệt quan trọng để bảo vệ chống liệu xảy Thiết bị lưu đơn giản ổ đĩa gắn ngồi, HDD di đợng gắn ngồi USB… Phương tiện thay vị trí với liệu mợt vị trí nơi đâu • Để có kết tốt nhất, các lưu thực sở quán, thường xuyên để giảm thiểu số lượng liệu bị các lưu Càng nhiều thời gian trôi qua liệu chưa lưu, có nhiều khả liệu xảy khôi phục từ lưu 4.4 HẠN CHẾ CÁC DỊCH VỤ KHƠNG CẦN THIẾT Để bảo mật Apache, muốn tắt mợt số dịch vụ định, chẳng hạn thực thi CGI các liên kết tượng trưng, chúng không cần thiết Có thể tắt các dịch vụ cách sử dụng lệnh Options tệp cấu hình httpd.conf bạn tắt các dịch vụ cho mợt thư mục cụ thể Ví dụ cho thấy cần đưa vào tệp cấu hình httpd.conf để vơ hiệu hóa việc thực thi tập lệnh CGI, liên kết tượng trưng bao gồm phía máy chủ cho thư mục gốc máy chủ web các thư mục 4.5 ẨN PHIÊN BẢN APACHE VÀ NHẬN DẠNG HỆ ĐIỀU HÀNH Khi bạn cài đặt Apache nguồn trình cài đặt gói khác yum , hiển thị phiên máy chủ web Apache cài đặt máy chủ bạn với tên hệ điều hành máy chủ bạn lỗi Nó hiển thị thông tin các mô-đun apache cài đặt máy chủ bạn Trong hình trên, bạn thấy Apache hiển thị phiên với hệ điều hành cài đặt máy chủ bạn Đây mợt mối đe dọa bảo mật lớn máy chủ web hộp Linux bạn Để ngăn Apache không hiển thị thông tin với người, cần thực một số thay đổi tệp cấu hình Apache Mở tệp cấu hình trình soạn thảo vim tìm kiếm “ ServerSignature ”, theo mặc định Bật Chúng ta cần Tắt chữ ký máy chủ dòng thứ hai “ ServerTokens Prod ” cho Apache trả lại Apache dạng sản phẩm tiêu đề phản hồi máy chủ u cầu trang, Nó ngăn chặn thơng tin hệ điều hành, phiên phụ 4.6 TẮT DANH SÁCH THƯ MỤC Theo mặc định, Apache liệt kê tất nội dung thư mục gốc Tài liệu trường hợp khơng có tệp mục Chúng ta tắt danh sách thư mục cách sử dụng Options directive tệp cấu hình cho mợt thư mục cụ thể Để làm điều đó, cần tạo một mục nhập tệp httpd.conf apache2.conf 4.7 TIẾP TỤC CẬP NHẬT APACHE THƯỜNG XUYÊN Cộng đồng nhà phát triển Apache liên tục giải các vấn đề bảo mật phát hành phiên cập nhật với các tùy chọn bảo mật Vì vậy, Nó ln ln khuyến khích sử dụng các phiên Apache máy chủ web bạn Để kiểm tra phiên Apache : Bạn kiểm tra phiên lệnh httpd -v Bạn cập nhật phiên lệnh sau Bạn nên cập nhật Kernel HĐH lên các phát hành ổn định bạn không chạy ứng dụng cụ thể hoạt động HĐH Kernel cụ thể 4.8 TẮT CÁC MÔ ĐUN KHƠNG CẦN THIẾT Ln ln giải pháp tốt để giảm thiểu nguy trở thành nạn nhân c̣c cơng web Vì vậy, bạn nên tắt tất mô-đun không sử dụng Bạn liệt kê tất các mơ-đun biên dịch máy chủ web cách sử dụng lệnh sau Trên danh sách các module bật mặc định thường không cần thiết: mod_imap , mod_include , mod_info , mod_userdir , mod_autoindex Để tắt mơ-đun cụ thể, bạn chèn “ # ” vào đầu dịng khởi đợng lại dịch vụ 4.9 CHẠY APACHE TƯ CÁCH NGƯỜI DÙNG VÀ NHÓM RIÊNG BIỆT Với cài đặt mặc định Apache chạy quy trình mà khơng cần người dùng daemon Vì lý bảo mật, bạn nên chạy Apache tài khoản khơng đặc quyền Ví dụ: http-web Bây bạn cần yêu cầu Apache chạy với người dùng để làm vậy, cần thực một mục nhập /etc/httpd/conf/httpd.conf khởi đợng lại dịch vụ Mở /etc/httpd/conf/httpd.conf trình soạn thảo vim tìm kiếm từ khóa “ User ” “ Group ” bạn cần định user group để sử dụng 4.10 CHO PHÉP VÀ TỪ CHỐI, HẠN CHẾ TRUY CẬP VÀO THƯ MỤC Chúng tơi hạn chế quyền truy cập vào các thư mục với các tùy chọn “Allow” “Deny” tệp httpd.conf Ở ví dụ này, bảo mật thư mục gốc cách thiết lập phần sau tệp httpd.conf • • • Tùy chọn “None” - Tùy chọn không cho phép người dùng bật tính tùy chọn Lệnh từ deny, allow - Đây thứ tự lệnh " Từ chối " " Cho phép " xử lý Ở “ từ chối ” trước “ cho phép ” Deny form all - Điều từ chối yêu cầu từ người đến thư mục gốc, khơng truy cập thư mục gốc 4.11 SỬ DỤNG MÔ ĐUN MOD_SECURITY ĐỂ BẢO MẬT APACHE Mod_security hoạt động một tường lửa cho các ứng dụng web cho phép theo dõi lưu lượng truy cập sở thời gian thực Nó giúp chúng tơi bảo vệ các trang web máy chủ web khỏi các c̣c cơng mạnh Bạn cần cài đặt mod_security máy chủ với trợ giúp trình cài đặt gói mặc định • Cài đặt Ubuntu/Debian • Cài đặt CentOS,… 4.12 TẮT CHỨC NĂNG THEO DÕI CỦA SYMBOLIC LINKS Mặc định Apache tuân theo các liên kết tượng trưng, tắt tính FollowSymLinks với Options Và để làm vậy, cần thực mục sau tệp cấu hình Và, người dùng trang web cụ thể cần bật FollowSymLinks , chúng tơi cần viết quy tắc tệp “ htaccess ” từ trang web Lưu ý: Để kích hoạt các quy tắc viết lại bên tệp “ htaccess ”, “ AllowOverride All ” phải có cấu hình tồn cục 4.13 KÍCH THƯỚC YÊU CẦU GIỚI HẠN Theo mặc định, Apache khơng có giới hạn tổng kích thước yêu cầu HTTP, tức không giới hạn bạn cho phép các yêu cầu lớn máy chủ web, bạn nạn nhân các c̣c cơng Từ chối dịch vụ Chúng tơi giới hạn kích thước yêu cầu thị Apache “ LimitRequestBody ” thẻ thư mục Bạn đặt giá trị theo byte từ ( unlimited ) đến 2147483647 ( 2GB ) phép phần thân yêu cầu Bạn đặt giới hạn theo nhu cầu trang web mình, Giả sử bạn có mợt trang web mà bạn cho phép tải lên bạn muốn giới hạn kích thước tải lên cho mợt thư mục cụ thể Ở ví dụ này, user_uploads một thư mục chứa các tệp người dùng tải lên Chúng đặt giới hạn 500K cho việc 4.14 BẢO VỆ TRONG CÁC CUỘC TẤN CƠNG DDOS VÀ KIỂM SỐT Đúng khơng thể bảo vệ hồn tồn trang web khỏi các cuộc công DDos Dưới một số thị giúp bạn kiểm soát • TimeOut : Chỉ thị cho phép bạn đặt khoảng thời gian máy chủ đợi các kiện định hồn thành trước bị lỗi Giá trị mặc định 300 giây Tốt, giữ giá trị mức thấp trang web bị cơng DDOS Giá trị hồn tồn phụ tḥc vào loại yêu cầu bạn nhận trang web Lưu ý : Nó gây vấn đề với các tập lệnh CGI kèm • MaxClients : Chỉ thị cho phép bạn đặt giới hạn các kết nối phục vụ đồng thời Mọi kết nối xếp hàng sau giới hạn Nó có sẵn với Prefork Worker MPM Giá trị mặc định 256 • KeepAliveTimeout : Đó khoảng thời gian máy chủ đợi mợt u cầu trước đóng kết nối Giá trị mặc định giây • LimitRequestFields : Nó giúp đặt giới hạn số lượng trường tiêu đề yêu cầu HTTP chấp nhận từ các máy khách Giá trị mặc định 100 Bạn nên giảm giá trị các cuộc công DDos xảy quá nhiều tiêu đề yêu cầu http • LimitRequestFieldSize : Giúp đặt giới hạn kích thước tiêu đề HTTP Request 4.15 KÍCH HOẠT NHẬT KÝ APACHE Apache cho phép bạn ghi nhật ký độc lập với ghi nhật ký hệ điều hành bạn Bạn nên bật tính ghi nhật ký Apache cung cấp nhiều thông tin hơn, chẳng hạn các lệnh nhập người dùng tương tác với máy chủ Web bạn Để làm vậy, bạn cần bao gồm mơ-đun mod_log_config Có ba thị liên quan đến ghi nhật ký có sẵn với Apache • • • TransferLog : Tạo tệp nhật ký LogFormat : Chỉ định một định dạng tùy chỉnh CustomLog : Tạo định dạng tệp nhật ký Chúng ta sử dụng chúng cho một trang web cụ thể mà bạn sử dụng Máy chủ ảo bạn cần định phần máy chủ ảo Ví dụ: cấu hình máy chủ ảo trang web tơi có bật tính ghi nhật ký PHẦN V – KẾT LUẬN Đảm bảo an tồn thơng tin cần thực định kỳ một cách thường xuyên, nhằm đảm bảo cho hệ thống thơng tin an tồn Tránh các rủi ro đáng tiếc xảy ra, gây ảnh hưởng tới hoạt động, trao đổi server Việc một webserver hay người quản trị viên thực cấu hình các sách an tồn mợt bước tiến lớn việc đảm bảo an tồn thơng tin tổ chức Tuy nhiên, việc tuân thủ hay cấu hình cách sách an tồn dịch vụ webserver apache khơng khẳng định tổ chức an tồn tuyệt đối Do vậy, cần liên tục kiểm soát, đánh giá rủi ro, xác định các mối đe dọa điểm yếu hệ thống để có hiểu biết tốt hệ thống thơng tin Từ đưa các giải pháp để giảm thiểu rủi ro Nên đánh giá hệ thống định kỳ tháng/1 lần để có cải tiến phù hợp với hệ thống quản lý an tồn thơng tin Đảm bảo tài sản thơng tin ln đáp ứng ba tḥc tính tính bảo mật, tính tồn vẹn tính sẵn sàng PHẦN VI – TÀI LIỆU THAM KHẢO - https://geekflare.com/apache-web-server-hardening-security/ https://bizflycloud.vn/tin-tuc/cau-hinh-bao-mat-cho-he-thong-web-server-su-dungapache-20180116191322115.htm https://123docz.net/document/4873578-do-an-xay-dung-chinh-sach-an-toan-cho-maychu-web-apache-chay-tren-linux.htm https://www.acunetix.com/blog/articles/10-tips-secure-apache-installation/ https://www.tecmint.com/apache-security-tips/ http://www.antoanthongtin.vn/lo-hong-attt/phat-hien-3-lo-hong-bao-mat-tren-phan-memmay-chu-web-apache-106374