Freebsd: separar el servicio de apache y www-data (htdocs) con jails, ¿vale la pena?

Tampoco sé si vale la pena.

Creo que realizar copias de seguridad periódicas de su contenido web puede ofrecerle algunos de los beneficios de eliminar el contenido web del servidor Apache, y las copias de seguridad pueden ser más fáciles de implementar. Las copias de seguridad no impiden que un servidor Apache comprometido modifique el contenido de la web, pero le brinda una forma de revertir a un estado sin compromisos si debe comprometerse.

En última instancia, solo usted puede decidir si vale la pena el esfuerzo, pero mi opinión es que no vale la pena separar el contenido web por separado. No ayudará con los tipos de vulnerabilidades más comunes. En estos días, las vulnerabilidades en el servidor Apache son relativamente raras. En su lugar, el caso más común son las vulnerabilidades en la aplicación web (por ejemplo, en el código PHP / Ruby / Java), y eliminar el contenido web no ayuda con ese tipo de vulnerabilidades. Por lo tanto, creo que recomendaría que centre sus esfuerzos de fortalecimiento en las defensas y mitigaciones que ayudan con las vulnerabilidades de la capa de aplicación en sus aplicaciones web.

Separar MySQL y tu aplicación web es muy importante. Esto se puede hacer incorrectamente. Por ejemplo, en Ubuntu 10.04 fue posible omitir el aislamiento del proceso de AppArmor, usar into outfile de mysql para crear un archivo php en / tmp y luego usar un Archivo local incluye vulnerabilidad para ejecutarlo . Una cárcel chroot no debe ser vulnerable a este problema.

Sin embargo, la mayoría de los ataques no son tan complejos. La mayoría de las veces, los atacantes usan bots para comprometer tantas máquinas como sea posible. A veces, estos robots buscan el archivo index.html o index.php y agregan un iframe a estas páginas para intentar comprometer los navegadores. Para evitar esto, chowé la raíz web como otro usuario, la raíz funcionaría y luego haría un chmod 550 -r WEBROOT . Asegúrate de que apache esté en el grupo.

Sin embargo, una jaula chroot y el cambio de permisos de archivos no previene vulnerabilidades comunes como la inyección de sql o xss. Es posible desfigurar la página de inicio de un sitio web utilizando XSS almacenado . Para resolver estos problemas, primero probaría su aplicación utilizando un escáner de aplicaciones web. Herramientas de código abierto como wapiti y skipfish , trabajo para una empresa que proporciona un servicio gratuito de análisis de vulnerabilidades . Las herramientas automatizadas no pueden detectar todo, pero es mejor que nada. Después de que la aplicación haya sido probada, recomiendo usar un Firewall de aplicaciones web de código abierto como mod_security .