Реализация безопасной сетевой инфраструктуры для web-сервера

Удаленное администрирование web-сервера

Администраторы web-сервера должны тщательно рассмотреть, существует ли необходимость удаленного администрирования и/или модификации содержимого web-сервера. Большинство безопасных конфигураций запрещает любое удаленное администрирование или модификации содержимого, хотя это может и не являться необходимым абсолютно для всех организаций. Риск от необходимости удаленного администрирования или модификации содержимого зависит от размещения web-сервера в сети. Например, если web-сервер расположен внешне относительно firewall’а или фильтрующего роутера, то никакого удаленного администрирования или модификации содержимого не должно выполняться. Удаленное администрирование или модификация содержимого могут выполняться относительно безопасно из внутренней сети, когда web-сервер расположен позади firewall’а. Удаленное администрирование или модификация содержимого не должны допускаться с хоста, расположенного вне сети организации.

Если необходимо удаленное администрирование или модификация содержимого на web-сервере, то для обеспечения безопасности должно быть гарантировано следующее:

• Используется механизм сильной аутентификации (например, криптография с открытым ключом, двухфакторная аутентификация или аналогичные по силе механизмы).

• Существует ограничение на хосты, которые могут быть использованы для удаленного администрирования или модификации содержимого на web-сервере.

  • Ограничение по IP-адресу (не по имени хоста).
  • Ограничение для хостов, находящихся во внутренней сети.
• Используются безопасные протоколы (например, SSH, TLS/SSL), а не протоколы, не обеспечивающие конфиденциальность, целостность и аутентификацию (Telnet, FTP, HTTP, NFS). От протоколов требуется, чтобы они обеспечивали шифрование как паролей, так и данных.
• Реализация концепции минимальных привилегий для удаленного администрирования и модификации содержимого (например, минимизировать права доступа для аккаунтов удаленного администрирования и модификации).
• Изменены все аккаунты по умолчанию или пароли для утилит или приложений удаленного администрирования.
• Не монтируется никаких файлов, разделяемых во внутренней сети, к web-серверу, и наоборот.

Список действий для безопасного администрирования web-сервера

Создание логов.

• Использовать Combined Log Format для хранения Transfer Log или вручную сконфигурировать информацию, описанную в Combined Log Format, чтобы стандартизовать формат Transfer Log.
• Если Combined Log Format недоступен, то использовать Referrer Log или Agent Log.
• Установить разные имена лог-файлов для разных виртуальных web-сайтов, которые могут быть реализованы как часть одного физического web-сервера.
• Использовать Remote User Identity, как описано в RFC 1413.
• Хранить логи на отдельном (syslog) хосте.
• Архивировать логи в соответствии с организационными требованиями.
• Просматривать логи ежедневно или еженедельно (при существовании требования более длительного их хранения).
• Использовать автоматизированные средства анализа лог-файла.

Выполнение backup’ов web-сервера.

• Создать политику выполнения backup’а web-сервера.
• Выполнять backup web-сервера инкрементально ежедневно или еженедельно.
• Выполнять полный backup web-сервера еженедельно или ежемесячно.
• Периодически архивировать backup’ы.
• Поддерживать аутентичную копию web-сайта(ов).

Восстановление после компрометации.

• Сделать отчет об инциденте.
• Свериться с политикой безопасности организации.
• Изолировать скомпрометированную систему(ы) или выполнить шаги по сбору дополнительных доказательств осуществления атаки.
• Исследовать другие "аналогичные" хосты для определения, не скомпрометировал ли атакующий и другие системы.
• Проконсультироваться с законодательными актами.
• Проанализировать проникновение.
• Восстановить систему.
• Заново подсоединить систему к сети.
• Протестировать систему для гарантирования безопасности.
• Просмотреть систему и сеть для нахождения следов того, что атакующий снова пытался получить доступ к системе или сети.
• Документировать результаты.

Тестирование безопасности.

• Периодически сканировать уязвимости на web-сервере и в соответствующей сети.
• Периодически обновлять сканер уязвимостей, используемый для тестирования.
• Устранять все недостатки, обнаруженные сканером уязвимостей.

Удаленное администрирование и модификация содержимого.

• Использовать сильный механизм аутентификации.
• Ограничить хосты, которые могут использоваться для удаленного администрирования и модификации содержимого (например, попытаться минимизировать права доступа для удаленного администрирования и модификации содержимого).
• Изменить все аккаунты и пароли по умолчанию для утилит и приложений удаленного администрирования.
• Не допускать удаленное администрирование из Интернета через firewall.
• Не иметь никаких разделяемых файлов из внутренней сети с web-сервером.