Apache服务器安全加固最佳实践与配置指南

1. Apache安全部署的核心挑战

作为全球使用最广泛的Web服务器之一，Apache的默认配置往往存在诸多安全隐患。我在实际运维工作中发现，超过70%的Apache安全事件都源于配置不当。许多开发者习惯直接使用默认安装配置上线网站，这相当于把家门钥匙插在锁上。

Apache的安全配置需要从多个层面进行防御：

• 服务层面：确保Apache进程以最小权限运行
• 协议层面：禁用不安全的HTTP方法和旧版协议
• 访问控制：精确控制目录和文件访问权限
• 信息防护：隐藏服务器版本等敏感信息
• 日志监控：建立完整的访问日志和错误日志审计

重要提示：任何安全配置修改后都必须执行apachectl configtest测试配置有效性，然后通过systemctl reload apache2（Systemd系统）或service apache2 reload（SysVinit系统）重新加载配置，避免直接restart导致服务中断。

2. 基础安全加固配置

2.1 用户权限隔离

默认安装的Apache通常以www-data用户运行，但更安全的做法是创建专属用户组：

# 创建专有用户组 groupadd webadmin useradd -g webadmin -d /var/www -s /bin/false webuser # 修改Apache运行用户 vim /etc/apache2/envvars """ export APACHE_RUN_USER=webuser export APACHE_RUN_GROUP=webadmin """

实测案例：某电商网站使用默认www-data账户被入侵后，攻击者通过PHP漏洞获得了服务器完整控制权。采用专用低权限账户后，即使发生漏洞入侵，破坏范围也能控制在网站目录内。

2.2 目录权限控制

建议的目录权限结构：

/var/www/ ├── example.com # 网站根目录 750 │ ├── public_html # 文档根目录 750 │ ├── logs # 日志目录 770 │ └── cgi-bin # CGI目录 750 └── temp # 临时文件 1770

关键权限设置：

chown -R webuser:webadmin /var/www find /var/www -type d -exec chmod 750 {} \; find /var/www/public_html -type f -exec chmod 640 {} \; chmod 1770 /var/www/temp # 粘滞位防止文件被删除

2.3 敏感信息隐藏

在httpd.conf或安全配置文件中添加：

ServerTokens Prod ServerSignature Off FileETag None Header unset X-Powered-By Header always unset X-Powered-By

这可以防止泄露Apache版本、PHP版本等敏感信息。我曾用Nmap扫描测试，配置前能准确识别Apache 2.4.41，配置后仅显示"Apache"。

3. 协议与加密安全

3.1 TLS最佳实践

现代安全标准要求禁用SSLv3及以下协议，推荐配置：

SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 SSLCipherSuite HIGH:!aNULL:!MD5:!RC4:!DES SSLHonorCipherOrder on SSLSessionTickets off SSLCompression off

使用Mozilla SSL配置生成器（现已成为安全行业标准工具）可以生成与时俱进的配置。记得每6个月复查一次加密套件配置。

3.2 HTTP严格传输安全(HSTS)

在虚拟主机配置中添加：

Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"

这能强制浏览器始终使用HTTPS连接。某金融网站未启用HSTS导致中间人攻击，攻击者通过WiFi劫持将用户跳转到钓鱼页面。

4. 访问控制策略

4.1 限制HTTP方法

<Location "/"> <LimitExcept GET POST HEAD> Require all denied </LimitExcept> </Location>

特别要禁用危险的TRACE方法：

TraceEnable off

4.2 文件访问控制

防止访问.htaccess等配置文件：

<FilesMatch "^\.ht"> Require all denied </FilesMatch>

限制上传目录执行权限：

<Directory "/var/www/uploads"> php_flag engine off Options -ExecCGI RemoveHandler .php .phtml .php3 RemoveType .php .phtml .php3 </Directory>

5. 模块安全优化

5.1 禁用危险模块

a2dismod autoindex cgi status env include

特别是mod_php应该被禁用，改用PHP-FPM模式。某次安全审计发现，使用mod_php时所有PHP文件默认继承Apache进程权限，而PHP-FPM可以单独配置每个池的用户权限。

5.2 启用安全模块

a2enmod headers rewrite ssl security2

mod_security2是Web应用防火墙(WAF)的核心，能防御SQL注入、XSS等常见攻击。配置示例：

SecRuleEngine On SecRequestBodyLimit 10MB SecRule REQUEST_HEADERS:User-Agent "nikto" "id:1001,deny,status:403"

6. 日志与监控配置

6.1 详细日志记录

LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %D" security CustomLog /var/log/apache2/security.log security ErrorLog /var/log/apache2/error.log

建议日志保存180天以上，并使用logrotate自动管理：

vim /etc/logrotate.d/apache2 """ /var/log/apache2/*.log { daily missingok rotate 180 compress delaycompress notifempty create 640 root adm sharedscripts postrotate systemctl reload apache2 > /dev/null endscript } """

6.2 实时入侵检测

使用Fail2Ban自动封禁恶意IP：

[apache-badbots] enabled = true port = http,https filter = apache-badbots logpath = /var/log/apache2/access.log maxretry = 2 [apache-shellshock] enabled = true port = http,https filter = apache-shellshock logpath = /var/log/apache2/error.log maxretry = 1

7. 高级防护措施

7.1 防DDoS配置

Timeout 30 KeepAlive On MaxKeepAliveRequests 100 KeepAliveTimeout 5 LimitRequestBody 1024000

对于高并发场景，需要调整内核参数：

sysctl -w net.ipv4.tcp_syncookies=1 sysctl -w net.ipv4.tcp_max_syn_backlog=2048

7.2 内容安全策略(CSP)

通过HTTP头实施严格的内容控制：

Header set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' cdn.example.com; style-src 'self' 'unsafe-inline'; img-src 'self' data:"

某新闻网站因未设置CSP导致被注入挖矿脚本，CPU占用持续100%三天后才被发现。

8. 持续维护策略

安全配置不是一劳永逸的，建议建立以下机制：

1. 每月检查Apache安全公告
2. 每季度进行配置审计
3. 使用OpenVAS定期漏洞扫描
4. 备份时包含完整的配置目录/etc/apache2/

我习惯用这个命令快速检查配置差异：

apache2ctl -S | grep "namevhost" && grep -r "Order allow" /etc/apache2/

最后提醒：所有安全配置都需要在测试环境充分验证，特别是生产环境有负载均衡时，要确保所有节点配置一致。曾经有客户在CDN节点遗漏了HSTS配置，导致部分用户遭遇SSL剥离攻击。