【正文】 1 / 40密 級：文檔編號：項目代號：中國移動 WEB 服務(wù)器安全配置手冊Version 中國移動通信有限公司二零零四年十二月2 / 40擬 制:審 核:批 準:會 簽:標準化:3 / 40版本控制版本號 日期 參與人員 更新說明分發(fā)控制編號 讀者 文檔權(quán)限 與文檔的主要關(guān)系1 創(chuàng)建、修改、讀取 負責編制、修改、審核2 批準 負責本文檔的批準程序3 標準化審核 作為本項目的標準化負責人，負責對本文檔進行標準化審核4 讀取5 讀取4 / 40目 錄第 1 章. 目的 ...................................................................6第 2 章. 范圍 ...................................................................6第 3 章. WEB 服務(wù)安全加固原則 ...................................................7. WEB主機平臺安全設(shè)置 ......................................................7. 主機安全標準加固規(guī)范 ............................................7. 用戶權(quán)限設(shè)置 ....................................................7. 事件日志設(shè)置 ....................................................7. 關(guān)閉非必要的服務(wù)和程序 ..........................................7. WEB服務(wù)安全設(shè)置 ..........................................................8. Web 系統(tǒng)資源保護 ................................................8. Web 服務(wù)權(quán)限設(shè)置 ................................................8. Web 服務(wù)訪問控制 ................................................8. 機密信息保護 ....................................................8. 日志設(shè)置 ........................................................9. 去除不必要的服務(wù)腳本 ............................................9第 4 章. IIS WEB 服務(wù)安全配置建議 ..............................................10. 審核策略設(shè)置 ............................................................10. 用戶權(quán)限分配 ............................................................10. 拒絕通過網(wǎng)絡(luò)訪問該計算機 .......................................10. 安全選項 ................................................................11. 事件日志設(shè)置 ............................................................11. 系統(tǒng)服務(wù) ................................................................11. HTTP SSL.......................................................12. IIS Admin 服務(wù) .................................................12. 萬維網(wǎng)發(fā)布服務(wù) .................................................13. 其它安全設(shè)置 ............................................................13. 僅安裝必要的 IIS 組件 ..........................................14. 僅啟用必要的 Web 服務(wù)擴展 ......................................14. 在專用磁盤卷中放置內(nèi)容 .........................................15. 設(shè)置 NTFS 權(quán)限 .................................................15. 設(shè)置 IIS Web 站點權(quán)限 ..........................................16. 配置 IIS 日志 ..................................................17. 向用戶權(quán)限分配手動添加唯一的安全組 .............................19. 保護眾所周知帳戶的安全 .........................................19. 保護服務(wù)帳戶的安全 .............................................20. 用 IPSec 過濾器阻斷端口 ........................................20. 參考材料 ................................................................22第 5 章. APACHE WEB 服務(wù)安全配置建議 ...........................................24. 審核策略設(shè)置 ............................................................245 / 40. 用戶權(quán)限分配 ............................................................24. 拒絕通過網(wǎng)絡(luò)訪問該計算機 .......................................24. 安全選項 ................................................................26. 絕對不要以 root 身份執(zhí)行守護程序 ...............................26. 次序的規(guī)則 .....................................................26. 符號連結(jié) .......................................................27. Apache 下的索引 ................................................27. 事件日志設(shè)置 ............................................................28. 系統(tǒng)服務(wù) ................................................................28. HTTP SSL.......................................................28. 其它安全設(shè)置 ............................................................31. 升級到最新的版本 ...............................................31. 建立 Chroot 環(huán)境 ...............................................32. 參考材料 ................................................................396 / 40第 1 章. 目的本文的目標是為中移動企業(yè)范圍內(nèi)的 Web 服務(wù)應(yīng)用提供安全配置的規(guī)范建議。Web 應(yīng)用服務(wù)是互聯(lián)網(wǎng) WWW 應(yīng)用的重要基礎(chǔ)，在中國移動企業(yè)范圍內(nèi)安裝和使用了大量的各種 Web 服務(wù)應(yīng)用。為了提高中國移動企業(yè) Web 服務(wù)的安全性，降低由于 Web 服務(wù)配置不規(guī)范而造成的安全風(fēng)險，特針對中國移動企業(yè)的重要典型 Web 服務(wù)提出了規(guī)范的配置安全加固建議。第 2 章. 范圍本文針對通用的 HTTP Web 服務(wù)器的主機平臺安全配置、HTTP 服務(wù)安全配置提出了規(guī)范加固的要求。并且對典型的 HTTP Web 服務(wù)應(yīng)用提出了具體的安全配置建議，如 Microsoft IIS Web 服務(wù)、Apache Web 服務(wù)。Web 服務(wù)器的加固方法包括了兩個層面的工作，這就是平臺安全配置和HTTP Web 服務(wù)安全配置。首先，作為接受廣泛用戶網(wǎng)絡(luò)訪問的 Web 應(yīng)用服務(wù)器，必須設(shè)置成為安全的堡壘主機，按照主機平臺加固規(guī)范對 Web 服務(wù)器平臺的操作系統(tǒng)進行安全設(shè)置，關(guān)閉所有非必要的網(wǎng)絡(luò)服務(wù)、應(yīng)用程序和系統(tǒng)組件等；其次，對于 HTTP Web 服務(wù)進行安全設(shè)置，包括服務(wù)資源權(quán)限設(shè)置、用戶帳號設(shè)置、遠程管理安全設(shè)置、日志設(shè)置等。7 / 40第 3 章. Web 服務(wù)安全加固原則 主機平臺安全設(shè)置. 主機安全標準加固規(guī)范必須對 Web 服務(wù)器主機平臺進行規(guī)范的安全加固，參照《中國移動操作系統(tǒng)安全配置手冊》建立安全可靠的 Web 應(yīng)用服務(wù)的主機運行環(huán)境。此外，必須針對 Web 應(yīng)用服務(wù)的特點進行安全設(shè)置。. 用戶權(quán)限設(shè)置清晰的區(qū)分并定義主機管理員、Web 應(yīng)用服務(wù)管理員以及 Web 應(yīng)用開發(fā)人員的帳號，并明確的定義其訪問 Web 應(yīng)用服務(wù)器的方式。禁止普通用戶通過網(wǎng)絡(luò)登陸到主機系統(tǒng)。. 事件日志設(shè)置主機系統(tǒng)日志應(yīng)記錄 Web 應(yīng)用服務(wù)的啟動、關(guān)閉等操作，以及主機管理員、Web 應(yīng)用服務(wù)管理員、和應(yīng)用開發(fā)人員的行為等。事件日志應(yīng)保存在安全保護的目錄或者其它的安全主機系統(tǒng)中。. 關(guān)閉非必要的服務(wù)和程序主機系統(tǒng)應(yīng)關(guān)閉所有非必要的服務(wù)，例如 SMTP、 FTP、DNS 等。如果需要使用網(wǎng)絡(luò)服務(wù)，如 FTP 協(xié)助 Web 服務(wù)內(nèi)容管理，必須嚴格按照 FTP 服務(wù)器加固規(guī)范進行安全設(shè)置，并且嚴格限制用戶權(quán)限。刪除所有非必要的系統(tǒng)組件、應(yīng)用程序，如 C 編譯程序等。8 / 40 服務(wù)安全設(shè)置. Web 系統(tǒng)資源保護Web 系統(tǒng)資源是指 Web 服務(wù)的所在目錄和文件。 Web 系統(tǒng)資源應(yīng)該安裝在獨立的目錄或者文件系統(tǒng)中。這些 Web 系統(tǒng)資源應(yīng)該屬于 Web 管理員擁有。根據(jù)需要，嚴格控制其它用戶對這些資源的訪問。嚴格禁止普通用戶對 Web 系統(tǒng)資源的訪問。. Web 服務(wù)權(quán)限設(shè)置此項是限制 Web 服務(wù)程序?qū)τ谙到y(tǒng)資源的訪問權(quán)限。目的是防止 Web 服務(wù)程序?qū)ο到y(tǒng)機密信息的讀寫操作，從而造成對信息的泄漏或者破壞。對于 Web 服務(wù) ID 方式的系統(tǒng)，應(yīng)嚴格限制 Web 服務(wù) ID 其擁有系統(tǒng)管理員的權(quán)限，禁止其擁有非必要的系統(tǒng)特權(quán)；限制其所能訪問的目錄，根據(jù)需要，控制其資源的讀權(quán)限；禁止對 Document Root 以及其它系統(tǒng)目錄的寫權(quán)限。而對 Document Root 以及其下的目錄，亦應(yīng)限制除 Web 服務(wù) ID 使用者外，其余用戶均不具列出目錄內(nèi)所有檔案之權(quán)限。對于 Web 服務(wù)程序方式的系統(tǒng)，嚴格控制 Web 服務(wù)程序?qū)ο到y(tǒng)目錄和文件的執(zhí)行、讀寫權(quán)限。. Web 服務(wù)訪問控制Web 服務(wù)系統(tǒng)提供配置文件對訪問用戶進行限制。Web 服務(wù)的缺省配置一般不做任何的用戶訪問限制，允許來自所有地址范圍的訪問。建議根據(jù)業(yè)務(wù)需要，屏蔽或者允許指定地址范圍的用戶訪問。. 機密信息保護Web 系統(tǒng)必須具備 SSL 的安全加密機制。如果 Web 服務(wù)器具有機密的信息內(nèi)容，為了保護機密信息的傳輸安全，必須在 Web 系統(tǒng)中配置 SSL 1289 / 40位加密功能，這能夠有效保護用戶客戶端與 Web 服務(wù)器之間的數(shù)據(jù)安全傳輸，防止信息網(wǎng)絡(luò)竊取。. 日志設(shè)置Web 系統(tǒng)必須定義 Web 活動日志，記錄 Web Server 的活動。Web 系統(tǒng)的日志目錄和文件屬于 Web 系統(tǒng)資源必須嚴格訪問權(quán)限。日志必須保存指定時間，以備系統(tǒng)審計和安全分析之用。. 去除不必要的服務(wù)腳本檢查 Web 系統(tǒng)使用的服務(wù)腳本，如 CGI，Perl 等。去除 Web 系統(tǒng)中與業(yè)務(wù)應(yīng)用無關(guān)的各種服務(wù)腳本。避免未經(jīng)檢驗的服務(wù)腳本的引入而增加 Web 系統(tǒng)安全風(fēng)險。另外，對于正式上線的 Web 服務(wù)器，亦應(yīng)移除所有相關(guān)的支持檔案與范例檔案，以避免惡意人員利用范例檔案入侵。10 / 40第 4 章.