SEGURIDAD EN SERVIDORES WEB (APACHE). UNIVERSIDAD LATINA SEGURIDAD INFORMATICA II SEGURIDAD EN SERVIDORES WEB (APACHE).

Qué es un servidor web Servidor web o servidor HTTP es un programa informático que procesa una aplicación del lado del servidor realizando conexiones bidireccionales y/o unidireccionales y síncronas o asíncronas con el cliente generando o cediendo una respuesta en cualquier lenguaje o Aplicación del lado del cliente. El código recibido por el cliente suele ser compilado y ejecutado por un navegador web. Para la transmisión de todos estos datos suele utilizarse algún protocolo. Generalmente se utiliza el protocolo HTTP para estas comunicaciones, perteneciente a la capa de aplicación del modelo OSI

Qué es Apache El servidor HTTP Apache es un sitio virtual o servidor web HTTP de código abierto (software libre), para plataformas Unix (BSD, GNU/Linux, etc.), Microsoft Windows, Macintosh y otras, que implementa el protocolo HTTP/1.12.

Qué es Apache Apache 2.4 lanzado al mercado a mediados 2013. Actualmente mas de 50.000 sites utilizan la nueva versión. Plataformas: NetBSD, Digital UNIX, AIX, OS/2, Windows 3.x, SCO, HPUX, Novell NetWare, Macintosh, Be OS, Windows NT, Linux, VMS, AS/400, Windows 95/98, FreeBSD, IRIX, Solaris. Precio: Gratis. (puede bajarse de apache.org) Incluido en algunas distribuciones de linux. http://httpd.apache.org/ Ventajas Principales: Cantidad de plataformas soportadas y disponibilidad de código fuente. Modularidad y sin costo.

Instalación de Apache Binarios Código Fuente Ventajas Fácil Instalación Incluye Código Fuente Fácil Configuración Desventajas Particular para cada plataforma Pocas posibilidades de configuración Usualmente se consiguen en versiones anteriores a la más reciente. Máxima Flexibilidad Opción de Configurar libremente Se puede ajustar libremente según las necesidades Es necesario poseer compilador correcto Proceso mas largo y complejo

Funcionamiento - Apache Configuración La configuración de Apache se realiza mediante directivas en archivos planos, el archivo principal de configuración es el httpd.conf Este archivo consiste de una directiva por linea. Ej. DocumentRoot /usr/web Define cual será el directorio que alberga los archivos del site Adicionalmente, existen dos otros archivos de configuración, el srm.conf que maneja configuraciones para el manejo de recursos en el filesystem. También esta el access.conf que maneja control de acceso

Seguridad en la instalación de Apache. Instalar los últimos parches de seguridad, se pueden descargar en su página web Restringir acceso por IP Ocultar la versión y otra información delicada relacionada con la configuración del servidor Apache debe funcionar bajo su propia cuenta y grupo de usuario Utiliza el mod_security (modo seguro). Este módulo permite: * Filtración simple * Filtración basada en expresiónes regular (por cadenas de texto) * Validación de codificación de la URL * Validación de codificación Unicode (standard de codificación de caracteres) * Auditing (auditable) * Prevención del ataque NULL Byte (caracteres nulos que cortan la informacion) * Límitar la memoria de subida * Enmascarar la identidad del servidor

Seguridad en la instalación de Apache. Deshabilitar cualquier módulo innecesario Asegurarte de que los archivos a los que se accede son los deseados.-No se debe acceder a los directorios que no tengan permisos para ello. Desactiva las opciones para explorar directorios Desactiva los includes (librerias) del lado servidor Desactiva la ejecución de CGI si no se necesita. (Common Gateway Interface, abreviado CGI) tecnología web que permite a un cliente (navegador web) solicitar datos de un programa ejecutado en un servidor web. CGI especifica un estándar para transferir datos entre el cliente y el programa. No permitir que apache siga enlaces simbólicos.- Options -FollowSymLinks Desactivar todas las opciones. Options None Desactivar la ayuda para los archivos .htaccess (acceso a red) Disminuye el valor máximo de tiempo de espera. Por el defecto el tiempo de espera es de 300 segundos. Puedes disminuirlo por seguridad para prevenir ataques. Limitar el tamaño maximo de peticiones. Para mas información: http://www.tufuncion.com/configuracion_apache

Funcionamiento - Apache Tips de Rendimiento para Apache: La RAM es importantísima para el buen funcionamiento del servidor, es preciso utilizarla correctamente. Evitar el swapping (relación entre memoria principal y secundaria) evitando que el numero de usuarios se exceda, definir un máximo de conexiones. Evitar la negociación de contenido Si no se usa contenido dinámico, deshabilitar la opción.