ページの先頭行へ戻る
Interstage Web Server Express セキュリティシステム運用ガイド
Interstage
第1部 セキュリティ侵害の脅威と対策 > 第2章 セキュリティ対策 > 2.3 Interstage HTTP Server運用に関する対策
前次

2.3 Interstage HTTP Server運用に関する対策

アクセス時の注意

WebブラウザからInterstage HTTP Serverにアクセスする際、ネットワーク上の悪意のある人(またはマシン)が、正当なアクセス権限をもつ人(またはマシン)になりすまし、Interstage HTTP Serverにアクセスする脅威があります。
アクセスしたユーザが本人であるかを確認するために、SSLプロトコルバージョン「SSL3.0」または「SSL3.1」(TLS 1.0)のクライアント認証によるSSL通信を使用することをお勧めします。
SSL通信については、「第8章 Interstage HTTP ServerでSSLを利用する方法」を参照ください。


通信データについての注意

ネットワーク上の悪意のある人(またはマシン)が、正当にアクセスする権限を持つ人(またはマシン)とサーバとの間の通信データをのぞき見する脅威があります。または、サーバとの間の通信データを改ざんし、それが正当なデータとしてやりとりされる脅威があります。
暗号化によるセキュリティ保護を行うため、SSL通信を使用することをお勧めします。
SSL通信については、「第8章 Interstage HTTP ServerでSSLを利用する方法」を参照ください。


資源ファイルへの不正アクセス

Interstage HTTP Serverでは、以下のような資源ファイルを保持しています。

これらのファイルは悪意のある人(またはマシン)による不正アクセスという脅威にさらされる可能性があります。
これらのファイルを脅威にさらさないためには、そのファイルを一般ユーザからはアクセスできないようにするという対策があります。このために、それらのファイルに対して管理者権限をもつユーザ(Solaris/Linuxシステムではスーパユーザ、Windows(R)システムではAdministrator)のみがアクセス可能であるという設定をすることをお勧めします。


パスワード情報の漏洩

Interstage HTTP Serverには、パスワードファイルがあり、悪意のある人(またはマシン)がそのファイルをのぞき見る脅威があります。
パスワードファイル内のパスワードデータは暗号化されていますが、一般ユーザからアクセスできないようにするため、管理者がhtpasswdコマンドを使用してパスワードファイルを作成することをお勧めします。パスワードファイルの作成方法については、「4.1 ユーザ認証」を参照してください。


サーバ情報の漏洩

ネットワーク上の悪意のある人(またはマシン)が、HTTPレスポンスヘッダのServerヘッダフィールドに存在するサーバ情報を入手し、OS情報および製品情報から不正アクセスを試みることが可能となる脅威があります。
このような脅威に備え、Interstage HTTP Serverの環境定義ファイル(httpd.conf)において、IHSServerHeaderディレクティブに「Off」を指定し、HTTPレスポンスヘッダのServerヘッダフィールドを送信しない設定で運用することをお勧めします。IHSServerHeaderディレクティブの設定方法については、「Interstage HTTP Server 運用ガイド」を参照してください。

IHSServerHeader  Off

Denial of Service attack (DoS)の脅威

ネットワーク上の悪意のある人(またはマシン)が、標的とするサーバに対してサービスを不能にする脅威があります。
Denial of Service attack (DoS)の脅威に備え、以下のような機能を使用することをお勧めします。


HTTP TRACEメソッド悪用による脅威

ネットワーク上の悪意のある人(またはマシン)が、HTTPリクエストデータ内に存在する個人情報を盗み見たり、任意のコードを実行する脅威があります。
このような脅威に備え、Interstage HTTP Serverの環境定義ファイル(httpd.conf)において、TraceEnableディレクティブに「off」を指定し、HTTP TRACEメソッドを無効にすることをお勧めします。TraceEnableディレクティブの設定方法については、「Interstage HTTP Server 運用ガイド」を参照してください。
なお、TRACEメソッドは、ネットワーク上の診断を行うためなどに使用され、クライアント側から送出したデータをそのままレスポンスデータとして受信するHTTP/1.1のメソッドです。通常、使用されないため、無効にしてもInterstage HTTP Serverの運用上の影響はありません。

TraceEnable  off

ユーザアカウント名発見の脅威

ネットワーク上の悪意のある人(またはマシン)により、Webサーバマシン上のユーザアカウント名が発見される脅威があります。
このような脅威に備え、Interstage HTTP Serverの環境定義ファイル(httpd.conf)に以下を設定し、ユーザアカウントのホームディレクトリ配下のドキュメントに対する要求を無効にすることをお勧めします。

LoadModule  userdir_module  "/opt/FJSVihs/modules/mod_userdir.so"
UserDir     disabled

注意

LoadModuleおよびUserDirディレクティブの先頭にハッシュマーク(#)を追加して、コメント行としてもよいです。


ユーザアカウントのホームディレクトリ配下のドキュメントを公開する場合は、以下のように設定してください。

例

ユーザディレクトリの設定を無効とする場合の設定例を以下に示します。


ユーザ名「user1」および「user2」のホームディレクトリ/public_html配下のドキュメントを公開する場合

LoadModule  userdir_module  "/opt/FJSVihs/modules/mod_userdir.so"
UserDir public_html
UserDir disabled
UserDir enabled user1 user2

ユーザ名「user3」および「user4」以外のすべてのユーザのホームディレクトリ/public_html配下のドキュメントを公開する場合

LoadModule  userdir_module  "/opt/FJSVihs/modules/mod_userdir.so"
UserDir public_html
UserDir disabled user3 user4

注意

「UserDir public_html」だけを設定し、「http://ホスト名[:ポート番号]/~user」のリクエストを受けた場合、指定されたユーザ名「user」がWebサーバマシン上に存在するかにより、以下のように異なったステータスコードを返すことがあります。そのため、Webサーバマシン上のユーザアカウント名が発見される可能性があります。

  • 指定されたユーザ「user」が存在しない場合：

    ステータスコード「404 Not Found」を返します。

  • 指定されたユーザ「user」が存在する場合：

    ステータスコード「403 Forbidden」を返します。
    これは、指定されたユーザ「user」が存在するが、ユーザのホームディレクトリに、Webサーバからアクセス可能な権限が設定されていない場合に発生します。Webサーバの実行ユーザは、Userディレクティブで指定します。


    useraddコマンドでユーザのホームディレクトリを作成すると、ディレクトリの権限は所有者だけに設定され、そのユーザだけがアクセス可能となるため、本現象が発生します。


前次
Copyright 2012 FUJITSU LIMITED