[리눅스/서비스 관리] Apache 웹 서비스 정보 숨김 (U-71)

Apache 웹 서비스 정보 숨김

 

취약점 개요

■ 위험도
- 중

■ 점검 목적
- HTTP 헤더, 에러페이지에서 웹 서버 버전 및 종류, OS 정보 등 웹 서버와 관련된 불필요한 정보가 노출되지 않도록 하기 위함

■ 보안 위협
- 불필요한 정보가 노출될 경우 해당 정보를 이용하여 시스템의 취약점을 수 집할 수 있음

점검 및 조치 방법

■ 판단 기준
- 양호 : ServerTokens Prod, ServerSignature Off로 설정되어있는 경우
- 취약 : ServerTokens Prod, ServerSignature Off로 설정되어있지 않은 경우

■ 조치 방법
- 헤더에 최소한의 정보를 제한 후 전송 (ServerTokens 지시자에 Prod 옵션, ServerSignature 지시자에 Off 옵션 설정)

■ 점검 및 조치 사례

■ SOLARIS, LINUX, AIX, HP-UX
Step 1) vi 편집기를 이용하여 /[Apache_home]/conf/httpd.conf 파일을 연 후
#vi /[Apache_home]/conf/httpd.conf
Step 2) 설정된 모든 디렉터리의 ServerTokens 지시자에서 Prod 옵션 설정 및 ServerSignature
Off 지시자에 Off 옵션 설정 (없으면 신규 삽입)

■ 스크립트

echo " U-71 START"
echo " [U-71 Apache 웹 서비스 정보 숨김] " 		>>$COMPUTERNAME 2>&1
cat /etc/httpd/conf/httpd.conf |grep -i "ServerTokens"	>>$COMPUTERNAME 2>&1
cat /etc/httpd/conf/httpd.conf |grep -i "ServerSignature" >>$COMPUTERNAME 2>&1
echo " U-71 END"
echo " ==========================================================="		>>$COMPUTERNAME 2>&1