2.5 安全性加固

Apache HTTP Server 安全性加固指南：生产环境最佳实践

Apache HTTP Server 作为全球部署最广泛的 Web 服务器之一，其安全性直接关系到网站数据完整性、服务可用性与用户隐私保护。本文系统梳理适用于生产环境的 Apache 安全加固策略，涵盖配置文件防护、HTTP 头部强化、TLS 加密优化、攻击面收敛、日志审计及持续运维等九大核心维度，提供可直接落地的配置代码与深度技术说明，助力运维与安全工程师构建高韧性 Web 服务基础设施。

5.1 配置文件安全基线

Apache 主配置文件（httpd.conf 或 apache2.conf）是整个服务的安全中枢。不当配置可能暴露敏感路径、启用危险模块或泄露系统信息。实施最小权限原则是加固起点。

5.1.1 禁用非必要模块

默认安装常启用大量模块（如 mod_userdir、mod_info、mod_status），其中部分存在历史漏洞或扩大攻击面。应仅保留业务必需模块，并显式禁用其余项：

# /etc/apache2/mods-enabled/ 或 /usr/local/apache2/conf/httpd.conf 中操作
# ✅ 推荐：全局禁用，按需启用
# LoadModule userdir_module modules/mod_userdir.so
# LoadModule info_module modules/mod_info.so
# LoadModule status_module modules/mod_status.so
# LoadModule cgi_module modules/mod_cgi.so
# LoadModule cgid_module modules/mod_cgid.so
​

说明：mod_status 和 mod_info 在生产环境必须禁用——前者暴露实时连接状态与请求详情，后者直接输出完整配置树，构成严重信息泄露风险。

5.1.2 严格目录访问控制

默认 DocumentRoot 目录权限宽松易被滥用。须通过 <Directory> 指令强制最小权限模型：

<Directory "/var/www/html">
    Options -Indexes -FollowSymLinks -ExecCGI -Includes
    AllowOverride None
    Require all denied
</Directory>

# 显式授权静态资源目录（如需）
<Directory "/var/www/html/assets">
    Options -Indexes
    AllowOverride None
    Require all granted
</Directory>
​

• Options -Indexes：禁用目录索引，防止文件列表泄露
• Options -FollowSymLinks：阻断符号链接遍历路径跳转
• Require all denied：默认拒绝所有访问，显式授权优于默认放行

5.1.3 隐藏服务指纹信息

ServerTokens 与 ServerSignature 是攻击者识别 Apache 版本与操作系统的关键入口：

# 仅返回 "Apache"，不显示版本号与操作系统
ServerTokens Prod
ServerSignature Off
​

风险提示：若未配置，错误页面将暴露 Apache/2.4.52 (Ubuntu) 等完整标识，便于攻击者匹配已知 CVE（如 CVE-2021-44790）发起精准攻击。

5.2 HTTP 安全响应头强化

现代浏览器支持多项安全响应头，可主动防御 XSS、点击劫持、MIME 嗅探等客户端侧攻击。

# 启用核心安全头（需启用 mod_headers）
Header always set X-Content-Type-Options "nosniff"
Header always set X-Frame-Options "DENY"
Header always set Referrer-Policy "no-referrer-when-downgrade"
Header always set Permissions-Policy "geolocation=(), microphone=(), camera=()"

# 强制启用 HTTPS 的 HSTS（见 5.3.3）
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
​

✅ CSP 实施建议：生产环境应采用 script-src 'self' 严格模式，禁用 'unsafe-inline' 和 'unsafe-eval'；内联脚本迁移至外部文件，动态执行逻辑改用 nonce 或 hash 白名单。

5.3 TLS/SSL 加密协议加固

HTTPS 不是“开启即安全”，弱协议、过时加密套件、不安全密钥均构成中间人攻击入口。

5.3.1 禁用不安全协议与算法

# 禁用所有 SSL 协议及 TLS 1.0/1.1
SSLProtocol -all +TLSv1.2 +TLSv1.3

# 仅启用前向保密（PFS）强加密套件
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305

# 强制服务端密码套件优先级
SSLHonorCipherOrder on

# 启用 OCSP Stapling 提升证书验证效率与隐私
SSLUseStapling on
SSLStaplingCache "shmcb:logs/ocsp(128000)"
​

🔍 验证命令：openssl s_client -connect example.com:443 -tls1_2 检查协议支持；nmap --script ssl-enum-ciphers -p 443 example.com 扫描可用加密套件。

5.3.2 HSTS 全域强制 HTTPS

# 启用 HSTS 并提交至浏览器预加载列表（需满足严格条件）
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
​

⚠️ 注意：启用 preload 前必须确保全站 HTTPS 无异常（包括第三方资源），否则将导致子域名永久无法访问 HTTP。

5.4 目录遍历与敏感文件防护

攻击者常利用路径遍历（../）或直接请求 .htaccess、.env 等文件窃取配置凭证。

# 全局禁止访问敏感文件扩展名
<FilesMatch "\.(htaccess|htpasswd|env|log|ini|bak|swp|git|svn|yml|yaml|json|xml)$">
    Require all denied
</FilesMatch>

# 禁用 .htaccess 覆盖（提升性能与安全性）
<Directory "/var/www/html">
    AllowOverride None
</Directory>

# 限制文件上传目录执行权限（如存在）
<Directory "/var/www/html/uploads">
    Options -ExecCGI -Includes
    AddHandler none .php .pl .py .jsp .asp .sh
</Directory>
​

5.5 DoS/DDoS 缓解策略

Apache 自身不具备网络层防护能力，但可通过模块与系统级协同降低应用层攻击影响。

5.5.1 请求速率限制（mod_evasive）

# 启用 mod_evasive（需先编译安装）
LoadModule evasive20_module modules/mod_evasive20.so

<IfModule mod_evasive.c>
    DOSLogDir "/var/log/apache2/evasive"
    DOSHashTableSize 3097
    DOSPageCount 2
    DOSSiteCount 50
    DOSPageInterval 1
    DOSSiteInterval 1
    DOSBlockingPeriod 600
    DOSWhitelist 127.0.0.1
    DOSWhitelist 192.168.0.0/16
</IfModule>
​

• DOSPageCount 2：同一 IP 1 秒内访问同一页面超 2 次即触发
• DOSSiteCount 50：同一 IP 1 秒内总请求数超 50 次即触发
• DOSBlockingPeriod 600：封禁时长 600 秒（10 分钟）

💡 替代方案：现代部署推荐使用 mod_ratelimit 或反向代理层（Nginx、Cloudflare）实现更精细的限流。

5.5.2 系统级防火墙协同

# 使用 ufw（Ubuntu）或 firewalld（RHEL）限制连接
sudo ufw limit 443/tcp    # 限制 HTTPS 连接速率
sudo ufw limit 80/tcp      # 限制 HTTP 连接速率
sudo ufw deny from 203.0.113.44  # 封禁恶意 IP
​

5.6 日志审计与威胁检测

日志是安全事件溯源与异常行为分析的唯一依据，必须确保完整性、机密性与可用性。

# 启用结构化日志（推荐 combined + 自定义字段）
LogFormat "%t %h \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %{UNIQUE_ID}e" combined_with_id
CustomLog /var/log/apache2/access.log combined_with_id
ErrorLog /var/log/apache2/error.log
LogLevel warn

# 启用审计日志（记录所有请求头、响应头）
# 需启用 mod_security 或自定义模块，非原生支持
​

✅ 最佳实践：

• 日志存储于独立分区，配额限制防磁盘打满
• 启用 logrotate 按日/大小轮转，保留 90 天以上
• 集成 SIEM 工具（如 Wazuh、Elastic SIEM）实时分析 403、404、500 高频请求与 SQLi/XSS 特征模式

5.7 安全扫描与合规检查

定期自动化扫描是发现配置偏差与未知漏洞的关键环节：

5.8 版本更新与漏洞响应

Apache 官方每季度发布安全更新（Security Advisories），延迟更新等于主动暴露漏洞。

# Ubuntu/Debian
sudo apt update && sudo apt upgrade apache2

# RHEL/CentOS
sudo yum update httpd

# 源码编译部署
# 定期检查 https://httpd.apache.org/security/vulnerabilities_24.html
# 升级后执行：apachectl configtest && systemctl reload apache2
​

📌 关键动作：

• 订阅 Apache Security Announcements 邮件列表
• 建立补丁测试流程：更新前在预发环境验证兼容性
• 记录每次升级的 CVE 编号与修复内容（如 CVE-2023-25690）

5.9 权限隔离与最小化原则

操作系统层权限控制是 Apache 安全的最后一道防线：

# 创建专用运行用户（非 root、非 www-data）
sudo useradd -r -s /bin/false apache-sec

# 修改主配置
User apache-sec
Group www-data

# 严格设置文件权限
sudo chown -R root:root /etc/apache2/
sudo chmod -R 755 /etc/apache2/
sudo chmod 644 /etc/apache2/apache2.conf
sudo chmod 600 /etc/apache2/sites-enabled/*
​

• Web 内容目录属主设为 root:www-data，权限 755
• 日志目录属主 root:adm，权限 755
• SSL 证书私钥权限必须为 600，属主 root:root

结语：构建纵深防御的 Apache 安全体系

Apache 安全性加固绝非单点配置的叠加，而是一套覆盖协议层（TLS）、应用层（HTTP 头）、系统层（权限/防火墙）、数据层（日志/审计）与流程层（更新/扫描） 的纵深防御体系。本文所列 5.1 至 5.9 项实践，已在金融、政务、电商等高合规要求场景中验证有效性。

真正的安全始于配置，成于监控，久于迭代。建议将本指南纳入 DevSecOps 流程：
✅ 每次配置变更经 CI/CD 安全扫描（如 Checkov、Conftest）
✅ 每月执行一次全量漏洞扫描与配置基线比对
✅ 每季度开展红蓝对抗，验证防护策略有效性

持续演进的安全策略，才是抵御未知威胁最坚固的盾牌。