Nginx中间件安全基线配置与操作指南

末蓝、 2023-10-06 19:52 39阅读 0赞

## 1、日志配置 ##

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:295.55pt;"> Nginx日志审计安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:295.55pt;"> Nginx-001 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 配置Nginx日志记录和审核 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:295.55pt;"> (1)编辑 nginx.conf 配置文件 将 error_log 前的“#”去掉，记录错误日志； 将 access_log 前的“#”去掉，记录访问日志。 (2)设置 access_log，修改配置文件如下： log_format &nbsp;formatname &nbsp;'$remote_addr - $remote_user [$time_local] "$request" ' &nbsp;'$status $body_bytes_sent "$http_referer" ' '"$http_user_agent" "$http_x_forwarded_for"'; access_log logs/access.log formatname; #formatname 是设置配 置文件格式的名称志 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 查看 nginx.conf 配置文件中，error_log、access_log 前的 “#”是否去掉 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 备注 </td> 
 <td style="vertical-align:top;width:295.55pt;"> </td> 
 </tr> 
 </tbody> 
</table>

## 2、服务管理 ##

### 2.1、限制IP访问 ###

### 2.2、控制超时时间 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:279.4pt;"> Nginx 超时控制管理安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:279.4pt;"> Nginx-003 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:279.4pt;"> 控制超时时间，提高服务器性能，降低客户端的等待时间 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:279.4pt;"> (1)修改配置文件 #vim /usr/local/nginx/conf/nginx.conf 具体设置如下： client_body_timeout 10; #设置客户端请求主体读取超时时间 client_header_timeout 10; #设置客户端请求头读取超时时间 keepalive_timeout 5 5; #第一个参数指定客户端连接保持活动的超时时间，第二个参数是可选的，它指定了消息头保持活动的有效时间 send_timeout 10; #指定响应客户端的超时时间 (2)重新启动 nginx 服务 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:279.4pt;"> 检查配置文件 #more /usr/local/nginx/conf/nginx.conf </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 备注 </td> 
 <td style="vertical-align:top;width:279.4pt;"> 根据应用场景的需要选择合适的参数值。 </td> 
 </tr> 
 </tbody> 
</table>

### 2.3、强制网站使用域名 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:279.4pt;"> Nginx强制网站使用域名安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:279.4pt;"> Nginx-004 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:279.4pt;"> 躲避IP扫描 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:279.4pt;"> (1)修改配置文件 #vim /usr/local/nginx/conf/nginx.conf 具体设置如下： Server{ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;...... &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if ($host !~* 'abc.com'){ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return 403; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;...... } (2)重新启动 nginx 服务 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:279.4pt;"> </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 备注 </td> 
 <td style="vertical-align:top;width:279.4pt;"> abc.com 替换成自己使用的域名 </td> 
 </tr> 
 </tbody> 
</table>

## 3、访问权限 ##

### 3.1、错误页面处理 ###

### 3.2、防止目录遍历 ###

### 3.3、连接超时设置 ###

### 3.4、限制访问的方法 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:279.4pt;"> Nginx 限制访问方法安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:279.4pt;"> Nginx-008 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:279.4pt;"> 拒绝除post/get/head方法外的其他方法请求 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:279.4pt;"> 1)修改配置文件 #vim /usr/local/nginx/conf/nginx.conf 具体设置如下： Server{ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;...... &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if($request_method !~ ^(GET|HEAD|POST)$) { &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return404; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;...... } (2)重新启动 nginx 服务 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:279.4pt;"> </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 备注 </td> 
 <td style="vertical-align:top;width:279.4pt;"> </td> 
 </tr> 
 </tbody> 
</table>

### 3.5、过滤非法user-agent ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:279.4pt;"> Nginx 限制访问方法安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:279.4pt;"> Nginx-008 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:279.4pt;"> 拒绝除post/get/head方法外的其他方法请求 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:279.4pt;"> 1)修改配置文件 #vim /usr/local/nginx/conf/nginx.conf 具体设置如下： Server{ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;...... &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if($request_method !~ ^(GET|HEAD|POST)$) { &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return404; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;...... } (2)重新启动 nginx 服务 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:279.4pt;"> </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 备注 </td> 
 <td style="vertical-align:top;width:279.4pt;"> </td> 
 </tr> 
 </tbody> 
</table>

### 3.6、URL过滤敏感字 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:279.4pt;"> Nginx URL过滤敏感字安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:279.4pt;"> Nginx-010 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:279.4pt;"> 拒绝一些非法访问 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:279.4pt;"> 1)修改配置文件 #vim /usr/local/nginx/conf/nginx.conf 具体设置如下： Server{ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;...... &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;($query_string&nbsp;~* "union.*select.*\(")&nbsp;{ rewrite&nbsp;^/(.*)$&nbsp;$host&nbsp;permanent; } if&nbsp;($query_string&nbsp;~* "concat.*\(")&nbsp;{ &nbsp;rewrite&nbsp;^/(.*)$&nbsp;$host&nbsp;permanent; } &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;...... } (2)重新启动 nginx 服务 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:279.4pt;"> </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 备注 </td> 
 <td style="vertical-align:top;width:279.4pt;"> </td> 
 </tr> 
 </tbody> 
</table>

### 3.7、过滤特定url ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:279.4pt;"> Nginx 过滤特定URL安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:279.4pt;"> Nginx-011 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:279.4pt;"> 拒绝访问敏感文件 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:279.4pt;"> 1)修改配置文件 #vim /usr/local/nginx/conf/nginx.conf 具体设置如下： Server{ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;...... &nbsp;location ~* \.(bak|save|sh|sql|mdb|svn|git|old)$ { rewrite&nbsp;^/(.*)$ $host permanent; } &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;...... } (2)重新启动 nginx 服务 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:279.4pt;"> </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:116.55pt;"> 备注 </td> 
 <td style="vertical-align:top;width:279.4pt;"> </td> 
 </tr> 
 </tbody> 
</table>

### 3.8、隐藏X-Powered-By头 ###

## 4、自定义缓存 ##

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:117.5pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:282.2pt;"> Nginx 自定义缓存安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:117.5pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:282.2pt;"> Nginx-012 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:117.5pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:282.2pt;"> 设置自定义缓存以限制缓冲区溢出攻击 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:117.5pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:282.2pt;"> 1)修改配置文件 #vim /usr/local/nginx/conf/nginx.conf 具体设置如下： Server{ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;...... &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;client_body_buffer_size 16K; client_header_buffer_size 1k; client_max_body_size 1m; large_client_header_buffers 4 8k; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;...... } (2)重新启动 nginx 服务 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:117.5pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:282.2pt;"> </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:117.5pt;"> 备注 </td> 
 <td style="vertical-align:top;width:282.2pt;"> 上述的参数不是最优参数，仅供参考，请根据linux服务器配置修改 </td> 
 </tr> 
 </tbody> 
</table>

## 5、SSL协议加固 ##

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:117.5pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:282.2pt;"> Nginx SSL协议加固安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:117.5pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:282.2pt;"> Nginx-013 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:117.5pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:282.2pt;"> 配置只允许ssl使用tls1.3或以上协议 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:117.5pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:282.2pt;"> 1)修改配置文件 #vim /usr/local/nginx/conf/nginx.conf 具体设置如下： Server{ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;...... &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ssl_protocols&nbsp;TLSv1.2; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;...... } (2)重新启动 nginx 服务 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:117.5pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:282.2pt;"> </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:117.5pt;"> 备注 </td> 
 <td style="vertical-align:top;width:282.2pt;"> 配置此项请确认nginx支持OpenSSL，运行nginx -V 如果返回中包含built with OpenSSL则表示支持OpenSSL </td> 
 </tr> 
 </tbody> 
</table>