Web server 我们关注亮点:

  • Web server 本身安全
  • Web server 是否提供了可使用的安全功能

Apache 安全

检查 apache 的 module 安装情况，根据最小权限原则，应该尽可能的减少不必要的 Module, 对于使用的 Module, 应检查其对应版本是否存在已知漏洞.

定制好了安装包之后, 要指定 Apache 进程以单独的用户身份运行，通常为Apache 单独建立一个 user/group

Nginx 安全

Nginx 漏洞可能比 apache 要多, 所以要多多关注 Nginx 的漏洞信息，并及时将软件版本升级到安全版本。

另外, Nginx 也需要用单独的用户来运行. Nginx 配置灵活, 在对抗 DDOS 攻击方面能起到一定的缓解作用.

Tomcat 远程命令执行, 建议不安装.