25 Melhores práticas de segurança para o Nginx Web Server no Linux

• client_body_timeout 10: A diretiva define o tempo limite de leitura para o corpo de solicitação do cliente. O tempo limite é configurado apenas se um corpo não for inserido em um readstep. Se depois deste tempo o cliente não envia nada, o nginx retorna o erro “Solicitar tempo limite” (408). O padrão é 60.
• client_header_timeout 10: A diretiva atribui tempo limite com a leitura do título do pedido do cliente. O tempo limite é configurado somente se um cabeçalho não for obtido em um passo de leitura. Se depois deste tempo o cliente não envia nada, o nginx retorna o erro “Solicitar tempo limite” (408).
• keepalive_timeout 5 5: O primeiro parâmetro atribui o tempo limite para conexões keep-alive com o cliente. O servidor fechará conexões após esse tempo. O segundo parâmetro opcional atribui o valor do tempo no cabeçalho Keep-Alive: timeout = tempo da resposta. Este cabeçalho pode convencer alguns navegadores para fechar a conexão, de modo que o servidor não precisa. Sem esse parâmetro, o nginx não envia um cabeçalho Keep-Alive (embora isso não seja o que faz uma conexão “keep-alive”).
• send_timeout 10: A diretiva atribui tempo limite de resposta ao cliente. O tempo limite é estabelecido não em transferência total de resposta, mas apenas entre duas operações de leitura, se depois deste tempo o cliente não demora nada, então o nginx está desligando a conexão.

9 – Controlar Conexões Simultâneas

Você pode usar o módulo Nginx Http Limit Zone para limitar o número de conexões simultâneas para a sessão atribuída ou, como caso especial, a partir de um endereço IP. Edite nginx.conf:

A configuração acima limitará os clientes remotos a não mais de 5 conexões “abertas” simultaneamente por endereço IP remoto.

10 – Permitir acesso apenas a nosso domínio

Se o bot estiver fazendo apenas varredura aleatória do servidor para todos os domínios, basta negar isso. Você só deve permitir pedidos de proxy de domínio virtual ou reverso configurados. Você não deseja exibir solicitação usando um endereço IP:

11 – Limitar Métodos Disponíveis

GET e POST são os métodos mais comuns na Internet. Os métodos do servidor da Web são definidos no RFC 2616. Se um servidor web não requer a implementação de todos os métodos disponíveis, eles devem ser desativados. O seguinte irá filtrar e permitir somente os métodos GET, HEAD e POST:

Mais sobre Métodos HTTP

• O método GET é usado para solicitar um documento como https://sempreupdate.com.br/index.php.
• O método HEAD é idêntico ao GET, exceto que o servidor NÃO DEVE retornar um corpo de mensagem na resposta.
• O método POST pode envolver qualquer coisa, como armazenar ou atualizar dados, ou solicitar um produto, ou enviar e-mail enviando o formulário. Isso geralmente é processado usando o script do lado do servidor, como PHP, PERL, Python e assim por diante. Você deve usar isso se desejar carregar arquivos e processar formulários no servidor.

12 – Como eu recuso certos User-Agents?

Você pode facilmente bloquear agentes de usuário, ou seja, scanners, bots e spammers que podem estar abusando do seu servidor.

Bloquear robôs chamados msnbot e scrapbot:

Bloquear Spam de Referência

Referer spam é perigoso. Pode prejudicar o seu ranking de SEO através de web-logs (se publicado). Você pode bloquear o acesso de spammers com essas linhas.

13 – Como bloquear hotlink de imagem?

A imagem ou HTML hotlinking significa que alguém faz um link para o seu site para uma das suas imagens, mas a exibe em seu próprio site. O resultado final você acabará por pagar contas de largura de banda e tornar o conteúdo parecido com parte do site do sequestrador. Isso é geralmente feito em fóruns e blogs. Eu sugiro fortemente que você bloqueie e pare o hotlinking da imagem no próprio nível do servidor.

14 – Restrições de Diretório

Você pode definir o controle de acesso para um diretório especificado. Todos os diretórios da Web devem ser configurados caso a caso, permitindo o acesso somente quando necessário.

Limitando o acesso por endereço IP

Você pode limitar o acesso ao diretório por endereço IP no diretório /docs/:

Proteger com senha o diretório

Primeiro crie o arquivo de senha e adicione um usuário chamado kallklen:

Edite o nginx.conf e proteja os diretórios necessários da seguinte maneira:

Uma vez que um arquivo de senha foi gerado, os usuários subsequentes podem ser adicionados com o seguinte comando:

15 – Configuração SSL

HTTP é um protocolo de texto simples e está aberto para monitoramento passivo. Você deve usar SSL para criptografar seu conteúdo para usuários. Uma opção gratuita de certificado SSL é a Let`s Encrypt, uma iniciativa trazida pelo Internet Security Research Group (ISRG).

16 – Dicas de segurança do Nginx e do PHP

O PHP é uma das linguagens de script mais populares do lado do servidor. Edite /etc/php.ini da seguinte maneira:

# Disallow dangerous functions disable_functions = phpinfo, system, mail, exec   ## Try to limit resources ##   # Maximum execution time of each script, in seconds max_execution_time = 30   # Maximum amount of time each script may spend parsing request data max_input_time = 60   # Maximum amount of memory a script may consume (8MB) memory_limit = 8M   # Maximum size of POST data that PHP will accept. post_max_size = 8M   # Whether to allow HTTP file uploads. file_uploads = Off   # Maximum allowed size for uploaded files. upload_max_filesize = 2M   # Do not expose PHP error messages to external users display_errors = Off   # Turn on safe mode safe_mode = On   # Only allow access to executables in isolated directory safe_mode_exec_dir = php-required-executables-path   # Limit external access to PHP environment safe_mode_allowed_env_vars = PHP_   # Restrict PHP information leakage expose_php = Off   # Log all errors log_errors = On   # Do not register globals for input data register_globals = Off   # Minimize allowable PHP post size post_max_size = 1K   # Ensure PHP redirects appropriately cgi.force_redirect = 0   # Disallow uploading unless necessary file_uploads = Off   # Enable SQL safe mode sql.safe_mode = On   # Avoid Opening remote files allow_url_fopen = Off

17 – Execute Nginx Em Uma Cadeia de Chroot (Containers) Se Possível

Colocar nginx em uma cadeia de chroot minimiza o dano causado por um possível bloqueio ao isolar o servidor da Web em uma pequena seção do sistema de arquivos. Você pode usar o tipo de configuração chroot tradicional com o nginx. Se possível, use reservatórios do FreeBSD, XEN, Linux em um Debian/Ubuntu, LXD em um Fedora ou OpenVZ que use o conceito de contêineres.

18 – Limite conexões por IP no nível de firewall

Um servidor web deve manter um olho nas conexões e limitar as conexões por segundo. Tanto Pf quanto iptables podem acelerar usuários finais antes de acessar seu servidor nginx.

IPTables

O exemplo a seguir negará conexões recebidas se o IP fizer mais de 15 tentativas de conexão na porta 80 dentro de 60 segundos:

/sbin/iptables -A INPUT -p tcp --dport 80 -i eth0 -m state --state NEW -m recent --set 
/sbin/iptables -A INPUT -p tcp --dport 80 -i eth0 -m state --state NEW -m recent --update --
seconds 60 --hitcount 15 -j DROP service iptables save

BSD PF

Edite seu /etc/pf.conf e atualize-o da seguinte maneira. A configuração limita o número máximo de conexões por fonte a 100. 15/5 especifica o número de conexões por segundo ou intervalo de segundos, ou seja, a taxa limita o número de conexões a 15 em uma extensão de 5 segundos. Se alguém romper as regras, adicione-os à nossa tabela abusive_ips e bloqueie-os para fazer conexões adicionais. Finalmente, a palavra-chave de descarga mata todos os estados criados pela regra de correspondência que se originam do host que excede esses limites.

webserver_ip="202.54.1.1"
table <abusive_ips> persist
block in quick from <abusive_ips>
pass in on $ext_if proto tcp to $webserver_ip port www flags S/SA keep state (max-src-conn 100, max-src-conn-rate 15/5, overload <abusive_ips> flush)

19 – Configurar o sistema operacional para proteger o servidor Web

Ative o SELinux conforme descrito acima. Defina as permissões corretas na raiz do documento / nginx. O nginx é executado como um usuário chamado nginx. No entanto, os arquivos no DocumentRoot (/nginx ou /usr/local/nginx/html) não devem ser de propriedade ou graváveis por esse usuário. Para encontrar arquivos com permissões erradas, use:

Certifique-se de alterar a propriedade do arquivo para root ou outro usuário. Um conjunto típico de permissão /usr/local/nginx/html:

-rw-r--r-- 1 root root 925 May 3 00:50 error4xx.html
-rw-r--r-- 1 root root 52 May 3 10:00 error5xx.html
-rw-r--r-- 1 root root 134 May 3 00:52 index.html

Você deve excluir arquivos de backup indesejados criados pelo vi ou outro editor de texto:

Passe -delete como opção para o comando find e irá livrar-se desses arquivos também.

20 – Restringir conexões Nginx de saída

Os crackers baixam o arquivo localmente em seu servidor usando ferramentas como o wget. Use iptables para bloquear conexões de saída do usuário nginx. O módulo ipt_owner tenta combinar várias características do criador de pacotes, para pacotes gerados localmente. É válido apenas na cadeia OUTPUT. Neste exemplo, permita que o usuário kallklen se conecte externamente usando a porta 80 (útil para o acesso da RHN ou para capturar atualizações do CentOS por repos):

Adicione a regra acima ao script de shell baseado em iptables. Não permita que o usuário do servidor web do nginx se conecte externamente.

21 – Mantenha seu software atualizado

Você deve manter seu software e kernel atualizados o tempo todo. Aplique o patch conforme sua versão ou distro. Se você estiver usando o comando apt-get Debian/Ubuntu Linux para aplicar patches:

Se estiver usando RHEL/CentOS/Oracle/Scientific Linux, use o yum:

22 – Evite clickjacking

Adicione o seguinte no seu nginx.conf ou domínio virtual para evitar clickjacking:

23 – Desativar content-type sniffing em alguns navegadores

Adicione o seguinte no seu nginx.conf ou domínio virtual:

Habilitar Filtro Cross-site scripting (XSS)

Adicione o seguinte ao nginx.conf ou domínio virtual:

24 – Force o uso de HTTPS

Se você configurou o certificado SSL no seu servidor, não tem porque usar HTTP. Adicione a seguinte linha em seu nginx.conf na configuração do HTTP:

25 – Monitorando o Nginx

O Stub Status permite ver o número total de pedidos de clientes e outras informações. Para habilitá-lo adicione as seguintes linhas no contexto local do seu nginx.conf:

Dica extra: observando seus registros e auditoria

Verifique os arquivos de log. Eles vão lhe dar uma compreensão de quais ataques são lançados contra o servidor e permitir que você verifique se o nível de segurança necessário está presente ou não.

grep "/login.php??" /usr/local/nginx/logs/access_log
grep "...etc/passwd" /usr/local/nginx/logs/access_log
egrep -i "denied|error|warn" /usr/local/nginx/logs/error_log

Esse foi um hardening para seu servidor nginx. No entanto, você deve consultar mais recursos para as necessidades de segurança de suas aplicações web. Por exemplo, o Wordpress ou qualquer outro aplicativo de terceiros possui seus próprios requisitos de segurança.