IBM HTTP服务器安全与加固指南

调整IBM HTTP服务器（IHS）以用于生产环境

IBM的HTTP服务器通常与IBM的WebSphere Application Server结合使用。一些使用IBM HTTP Server的popular sites是：

• Airtel.in
• Marriott.com
• Hsbc.co.uk
• Mercedes-benz.com.eg
• Argos.co.uk

IHS基于Apache HTTP服务器，但由IBM进行了调整以支持企业应用程序和维护支持。它在Web服务器世界中所占份额很小，但在与WebSphere应用服务器广泛使用。

默认的IHS配置提供了很多敏感信息，这可以帮助黑客为攻击做准备并中断业务运营。作为管理员，您应该了解如何加固IHS配置以保持安全和secure the web applications。

在本文中，我将解释如何使IHS成为可用于生产环境的环境，以保持安全和secure。

一些事项：–

• 如果尚未安装IHS，则您已在Linux环境中安装了IHS，如果没有，可以参考installation guide here。
• 建议您备份配置文件。
• 您的浏览器中具有HTTP头extensions，或者您可以使用在线工具Header Checker。
• 由于文章长度较长，我将在下一篇文章中讨论SSL配置。

隐藏HTTP头中的服务器标识和产品信息

在设置生产环境时，可能是要执行的第一项任务之一是掩盖HTTP头中的IHS版本和服务器标识。这不是关键问题，但被认为是信息泄漏漏洞的低风险，并且对于符合PCI DSS的应用程序来说是必须的。

让我们看一下在默认配置中不存在（404）请求的响应。

哦，不，它透露了我正在使用IBM HTTP服务器以及服务器IP和端口号，这很不好看。让我们隐藏它们。

解决方案：–

• 在IHS的httpd.conf文件中添加以下三个指令。

AddServerHeader Off
ServerTokens Prod
ServerSignature Off

• 保存文件并重新启动IHS。

通过访问一个不存在的文件来验证。您也可以使用HTTP Header tool来验证响应。

好多了！现在它不会给出产品、服务器和端口信息。

禁用Etag

Etag头可以透露文件的完整性并帮助黑客执行NFS攻击。默认情况下，IHS会公开etag，以下是如何消除这个漏洞的方法。

解决方案：–

• 在根目录中添加以下指令。

FileETag none

例如：

   Options FollowSymLinks
   AllowOverride None
   FileETag none

• 重新启动IHS服务器以生效。

以非root帐户运行IHS

默认配置以root和nobody用户运行Web服务器，这是不可取的，因为通过特权帐户运行可能会在发生安全漏洞时影响整个服务器。为了降低风险，您可以创建一个专用用户来运行IHS实例。

解决方案：–

• 创建名为ihsadmin的用户和组。

groupadd ihsadmin
useradd –g ihsadmin ihsadmin

现在，将IHS文件夹的所有权更改为ihsadmin，以便新创建的用户对其具有完全权限。假设您已经安装在默认位置– /opt/IBM/HTTPServer

chown –R ihsadmin:ihsadmin /opt/IBM/HTTPServer

让我们修改httpd.conf中的User & Group值

User ihsadmin
Group ihsadmin

保存httpd.conf并重新启动IHS服务器。这将帮助IHS以ihsadmin用户启动。

在Cookie中实施HttpOnly和Secure标志

拥有cookie secured and httponly将有助于降低XSS攻击的风险。

解决方案:–

为了实施这个解决方案，您必须确保在httpd.conf中启用了mod_headers.so。

如果没有，请取消在httpd.conf中的以下行的注释

LoadModule headers_module modules/mod_headers.so

并添加以下标头参数

Header edit Set-Cookie ^(.*)$ $1;HttpOnly;Secure

保存配置文件并重新启动Web服务器。

缓解点击劫持攻击

The clickjacking技术是一个众所周知的攻击方式，攻击者可以欺骗用户点击链接并执行嵌入的代码，而用户对此一无所知。

解决方案： –

• 确保mod_headers.so已启用，并在httpd.conf文件中添加以下标头参数

Header always append X-Frame-Options SAMEORIGIN

• 保存文件并重新启动服务器。

让我们通过访问URL来验证，它应该具有如下所示的X-Frame-Options。

配置Listen指令

如果服务器上有多个以太网接口/IP，则适用此操作。建议通过在Listen指令中配置绝对IP和端口，以避免DNS请求被转发。这在共享环境中经常见到。

解决方案： –

• 在Listen指令下的httpd.conf中添加预期的IP和端口。例如：

Listen 10.0.0.9:80

添加X-XSS-Protection

如果用户在浏览器中禁用了跨站脚本（XSS）保护，您可以通过实施以下标头来应用保护。

Header set X-XSS-Protection "1; mode=block"

禁用Trace HTTP请求

在Web服务器中启用Trace方法可能会导致跨站跟踪攻击，并可能窃取Cookie信息。默认情况下，此选项已启用，您可以使用以下参数禁用它们。

解决方案： –

• 修改httpd.con文件并添加以下行

TraceEnable off

• 保存文件并重新启动IHS实例以使其生效。

希望以上提示有助于您加固生产环境中的IBM HTTP服务器。