Freebsd: Separare il servizio Apache e www-data (htdocs) con le prigioni, ne vale la pena?

Non so se ne valga la pena,

Penso che l'esecuzione di backup regolari dei contenuti Web possa offrire alcuni dei vantaggi derivanti dal blocco del contenuto Web dal server Apache e che i backup potrebbero essere più facili da implementare. I backup non impediscono a un server Apache compromesso di modificare il contenuto web, ma ti dà la possibilità di tornare a uno stato senza compromessi se dovessi essere compromesso.

In definitiva, solo tu puoi decidere se ne vale la pena, ma la mia sensazione è che non sia valsa la pena di arrestare il contenuto del web separatamente. Non aiuterà con i tipi più comuni di vulnerabilità. In questi giorni, le vulnerabilità nel server Apache stesso sono relativamente rare. Invece, il caso più comune sono le vulnerabilità nell'applicazione web (ad esempio, nel codice PHP / Ruby / Java), e il blocco del contenuto Web non aiuta in questo tipo di vulnerabilità. Pertanto, ritengo che consiglierei di concentrare i vostri sforzi per rafforzare le difese e le attenuazioni che aiutano le vulnerabilità a livello di applicazione nelle vostre applicazioni Web.

Separare MySQL e la tua applicazione web è molto importante. Questo può essere fatto in modo errato. Ad esempio su Ubuntu 10.04 era possibile bypassare l'isolamento del processo di AppArmor, usare mysql's into outfile per creare un file php in / tmp e quindi usare un File locale Include vulnerabilità per eseguirlo . Un carcere di chroot non dovrebbe essere vulnerabile a questo problema.

Tuttavia, la maggior parte degli attacchi non è così complessa. Il più delle volte l'attaccante usa i bot per compromettere il maggior numero possibile di macchine. A volte questi bot cercano il file index.html o index.php e aggiungono un iframe a queste pagine per provare a compromettere i browser. Per evitare che ciò accada, chow la web root come un altro utente, root funzionerebbe, e quindi fare un chmod 550 -r WEBROOT . Assicurati che apache sia nel gruppo.

Tuttavia, una prigione chroot e la modifica delle autorizzazioni dei file non impediscono le vulnerabilità comuni come sql injection o xss. È possibile sfogliare la prima pagina di un sito Web utilizzando XSS memorizzato . Per risolvere questi problemi, testarei la tua applicazione utilizzando uno scanner di applicazioni Web. Strumenti open source come wapiti e skipfish , lavoro per un'azienda che fornisce un servizio di scansione vulnerabilità gratuito . Gli strumenti automatici non sono in grado di rilevare tutto, ma è meglio di niente. Dopo che l'applicazione è stata testata, ti consiglio di utilizzare un firewall per applicazioni Web open source come mod_security .