Apache HTTP Server kurulumu ve sertleştirme

Bu rehberde ne yapacağız?

Bu rehberde Apache HTTP Server'ı kuracak ve temel sertleştirme ayarlarını uygulayacaksınız: sürüm bilgisini gizleme, TRACE yöntemini kapatma, dizin listelemeyi devre dışı bırakma, gereksiz modülleri kapatma ve güvenlik başlıkları. Hosting ve sunucu yöneticilerine yöneliktir; yaklaşık 40 dakika sürer.

Apache esnek ve modülerdir; bu esneklik, varsayılan kurulumda gereğinden fazla bilgi ve özellik açık kalabileceği anlamına gelir. Aşağıdaki adımlar saldırı yüzeyini küçültür. Debian/Ubuntu ve AlmaLinux/Rocky arasında paket ve dizin adları farklıdır; ikisi de gösterilmiştir.

Gereksinimler

• Debian/Ubuntu veya AlmaLinux/Rocky Linux sunucu ve sudo yetkisi
• 80 ve 443 portları için güvenlik duvarı izni
• Yapılandırma yedeği: Debian/Ubuntu için sudo cp -r /etc/apache2 /etc/apache2.yedek, AlmaLinux/Rocky için sudo cp -r /etc/httpd /etc/httpd.yedek
• HTTPS için geçerli sertifika (kurulumu bu rehberin kapsamı dışındadır)

Adım adım Apache kurulumu ve sertleştirme

1. Apache'yi kurun

Debian/Ubuntu için paket ve servis adı apache2'dir:

sudo apt update
sudo apt install apache2
sudo systemctl enable --now apache2

AlmaLinux/Rocky için paket ve servis adı httpd'dir:

sudo dnf install httpd
sudo systemctl enable --now httpd
sudo firewall-cmd --permanent --add-service=http --add-service=https
sudo firewall-cmd --reload

2. Sertleştirme dosyasını oluşturun

Ayarları ana dosyayı değiştirmek yerine ayrı bir dosyaya yazmak güncellemelerde ezilmelerini önler. Debian/Ubuntu'da /etc/apache2/conf-available/sertlestirme.conf, AlmaLinux/Rocky'de /etc/httpd/conf.d/sertlestirme.conf dosyasını oluşturun. Debian/Ubuntu'da security.conf içinde benzer satırlar varsa çakışmayı önlemek için orada düzenleme yapabilirsiniz.

ServerTokens Prod
ServerSignature Off
TraceEnable Off
FileETag None
Timeout 60
KeepAliveTimeout 5
LimitRequestBody 10485760

ServerTokens Prod, yanıt başlığında yalnızca Apache adını bırakır; TraceEnable Off, TRACE yöntemini kapatır. LimitRequestBody değerini uygulamanızın yükleme ihtiyacına göre ayarlayın.

3. Dizin listeleme ve kök dizin erişimini kısıtlayın

Kök dizine varsayılan olarak erişimi reddedin, yalnızca belge kök dizininde gerekli seçenekleri açın. Dizin yolunu kendi yapınıza göre düzenleyin.

<Directory />
    AllowOverride None
    Require all denied
</Directory>

<Directory /var/www/html>
    Options -Indexes -Includes -ExecCGI +FollowSymLinks
    AllowOverride None
    Require all granted
</Directory>

AllowOverride None, .htaccess dosyalarının işlenmesini kapatır; performans ve güvenlik için iyidir. Uygulamanız .htaccess gerektiriyorsa yalnızca gereken kategorileri (örneğin FileInfo) açın.

4. Gizli dosyaları koruyun

<FilesMatch '^\.'>
    Require all denied
</FilesMatch>

5. Güvenlik başlıklarını etkinleştirin

Başlıklar için mod_headers gerekir. Debian/Ubuntu'da modülü etkinleştirin; AlmaLinux/Rocky'de varsayılan olarak yüklüdür.

sudo a2enmod headers

Header always set X-Content-Type-Options nosniff
Header always set X-Frame-Options SAMEORIGIN
Header always set Referrer-Policy strict-origin-when-cross-origin

6. Gereksiz modülleri kapatın

Kullanmadığınız modüller saldırı yüzeyini büyütür. Hangi modüllerin yüklü olduğuna bakın ve gereksizleri devre dışı bırakın. Debian/Ubuntu için örnek (yalnızca kullanmıyorsanız):

apache2ctl -M
sudo a2dismod status autoindex

Debian/Ubuntu'da a2dismod bazı modüller (örneğin autoindex) için ek onay isteyebilir; uyarıyı okuyup bilerek ilerleyin. AlmaLinux/Rocky'de modüller /etc/httpd/conf.modules.d/ altındaki dosyalarda LoadModule satırlarını yorum satırı yaparak kapatılır. Bir modülün gerekli olup olmadığından emin değilseniz kapatmadan önce test ortamında deneyin.

7. Dosyayı etkinleştirin, test edin ve yeniden yükleyin

Debian/Ubuntu için:

sudo a2enconf sertlestirme
sudo apache2ctl configtest
sudo systemctl reload apache2

AlmaLinux/Rocky için:

sudo apachectl configtest
sudo systemctl reload httpd

Doğrulama

Yapılandırmanın geçerli olduğunu ve ayarların etkili olduğunu kontrol edin.

curl -sI http://localhost
curl -X TRACE -i http://localhost

configtest çıktısı Syntax OK dönmelidir. İlk komutta Server: Apache satırında sürüm numarası görünmemeli ve güvenlik başlıkları listelenmelidir. TRACE isteği 405 (veya 403) ile reddedilmelidir. Dizin listelemeyi, içinde indeks dosyası olmayan bir klasöre gidip 403 alarak doğrulayın.

Sık karşılaşılan sorunlar

• Syntax error: yanlış yazılmış yönerge veya eksik modül. Hata mesajındaki dosya ve satıra bakın.
• Header yönergesi bilinmiyor: mod_headers yüklü değildir; Debian/Ubuntu'da a2enmod headers çalıştırın.
• 403 Forbidden: Require all denied ayarı belge kök dizinini de kapsıyor ya da dosya sahipliği ve izinleri hatalıdır. SELinux açıksa dosya bağlamını da kontrol edin.
• .htaccess çalışmıyor: AllowOverride None olarak ayarlandı; gereken kategoriyi açın.
• Servis yeniden yüklenmiyor: journalctl -u apache2 (RHEL'de httpd) ile bakın.

Güvenlik ve bakım notları

• Apache ve işletim sistemi paketlerini düzenli güncelleyin.
• Web sunucusunu root olarak çalıştırmayın; paket varsayılan kullanıcısını (www-data veya apache) koruyun.
• Belge kök dizini sahiplik ve izinlerini en az yetkiyle ayarlayın; web kullanıcısına yazma izni yalnızca gereken klasörlere verin.
• Günlükleri izleyin ve döndürün; olağandışı istekleri takip edin.
• Gerektiğinde mod_security gibi bir WAF modülünü değerlendirin ve önce yalnızca algılama modunda deneyin.
• Sanal sunucuları ayırın ve varsayılan siteyi kaldırın veya kısıtlayın.