Apacheで忘れるセキュリティ設定

サーバ情報表示を最小限にする

${APACHE_HOME}/conf/extra/httpd-default.confの「ServerTokens Full」を「ServerTokens Prod」に変更する。
同様に、「ServerSignature On」を「ServerSignature Off」に変更する。

TRACEメソッドを無効にする

${APACHE_HOME}/conf/extra/httpd-default.confに「TraceEnable off」を追加する。

ディレクトリ一覧を非表示にする

${APACHE_HOME}/conf/httpd.confの「Options Indexes FollowSymLinks」を「Options FollowSymLinks」に変更する。

有効な暗号化方式と強度を確認/設定する

${APACHE_HOME}/conf/extra/httpd-ssl.confの「SSLCipherSuite」の値を確認する。

例えば、「SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5」と設定してある場合、

openssl ciphers -v 'HIGH:MEDIUM:!aNULL:!MD5'

で確認することが可能。

設定例は以下

SSLCipherSuite HIGH:!DH:RC4+SHA:!aNULL:!3DES:!SSLv2:!EXP:+eNULL